CVE-2026-61729

SOCFortress CoPilot koncentruje się na zapewnieniu jednej szyby dla wszystkich potrzeb związanych z bezpieczeństwem. Przed wersją 0.1.76 polecenia `verify_graylog_header` w `backend/app/active_response/routes/graylog.py` i `verify_velociraptor_header` w `backend/app/incidents/routes/incident_alert.py` uwierzytelniają webhooki względem `GRAYLOG_API_HEADER_VALUE` i `VELOCIRAPTOR_API_HEADER_VALUE` z tym samym publicznie zakodowanym kodem rezerwowym. Ta sama wartość domyślna jest dostarczana w `.env.example`. Wdrożenia, w których ustawienie jest nieskonfigurowane lub niezmienione, umożliwiają anonimowemu obiektowi wywołującemu ze znaną wartością nagłówka ominięcie uwierzytelniania JWT wymaganego przez normalne interfejsy API. `POST /api/graylog/invoke` przekazuje wybrane przez atakującego `COMMAND`, `ACTION`, `VALUE` i `AGENT_ID` do skonfigurowanego menedżera Wazuh bez sprawdzania wyliczenia polecenia uwierzytelnionej trasy wywołania, umożliwiając skryptom aktywnej odpowiedzi zakłócanie punktów końcowych i manipulowanie kontrolami obronnymi. `POST /api/incidents/alerts/create/threshold` i `POST /api/incidents/alerts/create/velo-sigma` akceptują sfałszowane alerty dla dowolnych wartości `customer_code` i kierują zapytania OpenSearch kontrolowane przez atakującego. Dostarczanie w ramach aktywnej odpowiedzi wymaga skonfigurowanego osiągalnego menedżera Wazuh. Wdrożenia z niezależnie zmienionymi kluczami tajnymi nagłówka nie podlegają temu domyślnemu obejściu klucza tajnego. Ten problem został rozwiązany w wersji 0.1.76.