SOCFortress CoPilot corrige cuatro vulnerabilidades críticas que exponen credenciales y permiten manipular la plataforma

Qué ha pasado

NVD ha publicado hoy cuatro vulnerabilidades críticas en SOCFortress CoPilot, una consola que centraliza herramientas de un SOC como Wazuh, Graylog o Velociraptor. Conviene aclararlo: la clasificación automática las asocia a Microsoft Copilot, pero las descripciones se refieren exclusivamente al producto de SOCFortress.

En CVE-2026-61738, el aviso de SOCFortress en GitHub describe el impacto como ejecución remota de código (RCE) con privilegios de root, con riesgo para los datos de todos los clientes y las credenciales de los conectores, e indica que la ruta exige rol de administrador o analista. La ficha de NVD es más prudente: da por probada la sobrescritura de ficheros, limitada a contenido JSON válido, pero no la ejecución de código. Prevalece el aviso del fabricante, por lo que conviene tratarlo como un riesgo de toma de control del servidor.

• CVE-2026-61738 (CVSS 10): path traversal en la subida de informes de GCP de la integración ScoutSuite. El nombre del fichero no pasa por el saneamiento de la entrada y permite escribir archivos fuera del directorio previsto; el backend analizado se ejecuta como root.
• CVE-2026-61728 (CVSS 9.9): XSS (cross-site scripting) almacenado en comentarios de alertas y en campos de casos, activos y comprobaciones de estado, por falta de escape de la salida. Como los tokens se guardan en almacenamiento legible por JavaScript, un script inyectado puede robarlos y suplantar a quien vea la alerta, incluidos analistas y administradores.
• CVE-2026-61729 (CVSS 9.4): los webhooks de Graylog y Velociraptor se autentican con un valor por defecto público. Si no se cambió, un atacante sin autenticar puede enviar órdenes de respuesta activa al gestor de Wazuh o crear alertas falsas para cualquier cliente.
• CVE-2026-61730 (CVSS 9.3): el directorio /scoutsuite-report se sirve sin autenticación, lo que expone informes de seguridad de AWS, Azure y GCP y, durante un escaneo de GCP, la clave privada de la cuenta de servicio de Google.

A quién afecta

Afecta a organizaciones y proveedores de servicios gestionados que usen SOCFortress CoPilot, con especial impacto en despliegues multicliente. Según NVD, las versiones afectadas son las siguientes:

• CVE-2026-61738: anteriores a la 0.1.77 (el aviso del fabricante cita como corregida la última versión).
• CVE-2026-61728: corregida en dos fases, en la 0.1.70 (comprobaciones de estado) y la 0.1.76 (comentarios y resto de campos).
• CVE-2026-61729: anteriores a la 0.1.76 que mantengan el valor por defecto de GRAYLOG_API_HEADER_VALUE o VELOCIRAPTOR_API_HEADER_VALUE.
• CVE-2026-61730: la protección de la clave de GCP llega en la 0.1.77; no se ha establecido ninguna versión que corrija por completo la exposición de informes.

Estado de la explotación

Ninguna de las cuatro figura en el catálogo KEV de CISA, por lo que no consta explotación activa. Aun así, la gravedad y la sencillez de algunos ataques, como usar un valor por defecto público, justifican actuar sin esperar.

Qué hacer

Recomendamos aplicar estas medidas cuanto antes:

• Actualizar a la versión 0.1.77 o posterior.
• Sustituir GRAYLOG_API_HEADER_VALUE y VELOCIRAPTOR_API_HEADER_VALUE por secretos aleatorios propios.
• Bloquear el acceso a /scoutsuite-report desde redes no confiables (proxy inverso o cortafuegos) y borrar los informes de ScoutSuite que no se necesiten.
• Rotar las claves de cuentas de servicio de Google usadas en escaneos y revisar su actividad reciente.
• Revisar comentarios y notas de casos en busca de HTML o scripts y forzar la renovación de sesiones si hay indicios.
• Seguir la recomendación del aviso de no ejecutar el backend como root y limitar el rol de analista a personal de confianza.

Fuentes

• SOCFortress CoPilot advisory GHSA-q3g8-3cf7-744f

Tecnologías afectadas

Vulnerabilidades (4)