「Copilot Studio」に深刻な脆弱性 - 対策済み、悪用報告なし

マイクロソフトが提供する生成AIを利用した開発支援ツール「Copilot Studio」に深刻な脆弱性が含まれていたことがわかった。すでに解消済みだという。

現地時間11月26日にアドバイザリを公開し、権限昇格の脆弱性「CVE-2024-49038」について明らかにしたもの。

ウェブページ生成処理における検証不備に起因し、クロスサイトスクリプティング（XSS）の脆弱性が存在したという。攻撃者が細工したデータを注入することにより、認証なしにネットワーク経由で権限昇格が可能だった。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.3」、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

すでにマイクロソフトでは同脆弱性の対策を講じており、ユーザー側の対応などは不要。透明性の確保を目的に脆弱性を公開した。脆弱性の悪用や公開なども確認されていない。

（Security NEXT - 2024/11/27 ）ツイート