Chuỗi tấn công SearchLeak biến Microsoft 365 Copilot Enterprise thành công cụ rò rỉ dữ liệu qua 1 URL
"A critical vulnerability chain dubbed SearchLeak in Microsoft 365 Copilot Enterprise could let attackers exfiltrate sensitive mailbox, OneDrive, and SharePoint data via a crafted URL. Microsoft fixed the issue as CVE-2026-42824; the attack chained prompt injection, an HTML rendering race condition, and a Bing SSRF/CSP bypass to leak content without requiring user input beyond clicking the link."
Nguy cơ cao vì chuỗi lỗi cho phép rò rỉ dữ liệu từ mailbox/OneDrive/SharePoint chỉ với một lần nhấp URL; điểm then chốt gồm CVE-2026-42824 đã được khắc phục, đồng thời khai thác prompt injection + HTML race + SSRF/CSP bypass.
Tác động đáng kể đến vận hành do có thể làm lộ thông tin nhạy cảm (email, tài liệu, lịch họp) và gây gián đoạn tuân thủ; rủi ro tăng khi người dùng không nhận biết hành vi vì không có dấu hiệu rõ ràng trong phiên làm việc.
Một chuỗi lỗ hổng được đặt tên SearchLeak được cho là có thể cho phép kẻ tấn công trích xuất dữ liệu nhạy cảm từ Microsoft 365 Copilot Enterprise Search thông qua một URL được chế tạo sẵn. Dữ liệu bị rò rỉ có thể gồm nội dung email (ví dụ mã truy cập, thông tin đăng nhập), sự kiện lịch và chi tiết cuộc họp, tài liệu và các nội dung khác có thể được Copilot Enterprise Search truy cập.
Theo phân tích của Varonis, SearchLeak là sự kết hợp của ba nhóm lỗi: parameter-to-prompt injection (lợi dụng tham số q trong truy vấn), HTML rendering race condition (trình duyệt hiển thị HTML thô trước khi được trung hòa trong quá trình streaming), và Bing SSRF/CSP bypass (lợi dụng tính năng “Search by Image” để tạo yêu cầu ra ngoài khi CSP không còn chặn được).
Cách thức hoạt động được mô tả theo luồng: nạn nhân chỉ cần nhấp vào liên kết; Copilot tạo phản hồi chứa thẻ hình (ví dụ <img>) nhúng dữ liệu vào URL; trong lúc phản hồi được streaming, trình duyệt gửi yêu cầu đến Bing và Bing đóng vai trò trung gian để kẻ tấn công thu dữ liệu qua log máy chủ.
Microsoft đã khắc phục sự cố bằng bản sửa được gắn CVE-2026-42824. Khuyến nghị: rà soát việc áp dụng bản vá, kiểm tra cấu hình Copilot/Enterprise Search, và tăng giám sát các mẫu URL bất thường liên quan đến tham số q.