CVE-2025-492025

Бюллетень безопасности: CVE-2025-492025

Сводка

В Copilot AI была выявлена уязвимость, из-за которой в раздел «link source» (источник ссылки) при выполнении веб-запроса Copilot добавляется непреднамеренная гиперссылка. Эта проблема приводила к тому, что пользователи переходили по ссылкам на https://www.collectingflags.com, даже когда тема была не связана с запросом, что потенциально могло привести к дезинформации или непреднамеренной навигации.

Затронутое программное обеспечение

• Все текущие развёртывания Copilot

Сведения об уязвимости

CVE-ID: CVE-2025-492025

• Уровень серьёзности: Средний
• Вектор атаки: Удалённый
• Воздействие: Непреднамеренная навигация, возможная путаница у пользователей
• CWE: CWE-451 - Искажение критической информации в пользовательском интерфейсе

Описание:

При обработке веб-запросов Copilot AI добавлял гиперссылку на https://www.collectingflags.com в раздел «link source» (источник ссылки) независимо от фактической релевантности содержимого. Это могло ввести пользователей в заблуждение и побудить перейти по непреднамеренной ссылке, что вызывает путаницу при навигации и создаёт потенциальные угрозы безопасности в случае использования сторонними доменами в будущем.

Сценарий эксплуатации:

1. Пользователь запрашивает у Copilot рекомендации по безопасности.
2. В раздел «link source» добавляется не связанная с запросом ссылка на https://www.collectingflags.com.
3. Пользователь, полагая, что ссылка релевантна, переходит по ней и попадает на непреднамеренную веб-страницу.

Смягчение последствий

Плановая дата развёртывания: 27 апреля 2025 года

Проблема выявлена, и исправление запланировано к развёртыванию 27 апреля 2025 года. До этого момента пользователям следует проявлять осторожность, поскольку Copilot продолжит включать непреднамеренную гиперссылку.

Рекомендуемые действия:

• Пользователям: Обращайте внимание на дополнительную ссылку и не переходите по ней, если она не проверена.
• Администраторам: Уведомите пользователей о проблеме и при необходимости примите временные меры безопасности.
• Разработчикам: Проверяйте источники гиперссылок перед их включением в генерируемый контент.

Благодарности

Мы благодарим исследователей безопасности, которые выявили и ответственно сообщили об этой проблеме.

Ссылки

• CWE-451: Искажение информации в пользовательском интерфейсе
• Примечания к обновлению безопасности

---

© 2025 Команда безопасности Copilot