關(guān)鍵詞

漏洞

漏洞概述

• 漏洞名稱：EchoLeak
• 漏洞編號(hào)：CVE-2025-32711
• 嚴(yán)重性評(píng)分：CVSS 9.3（極高危）
• 狀態(tài)：已修復(fù)，無(wú)客戶受影響
  

1. 漏洞來(lái)源：

• 影響對(duì)象：Microsoft 365 Copilot的檢索增強(qiáng)生成（RAG）系統(tǒng)。

• 核心問(wèn)題：系統(tǒng)設(shè)計(jì)存在缺陷，攻擊者無(wú)需用戶交互即可竊取敏感數(shù)據(jù)。

攻擊手法?♂?：

• RAG spraying

  通過(guò)多主題郵件內(nèi)容匹配Copilot的語(yǔ)義搜索系統(tǒng)，提高攻擊成功率。

• 微軟Teams基礎(chǔ)設(shè)施

  攻擊者利用合法基礎(chǔ)設(shè)施繞過(guò)內(nèi)容安全策略限制。

• 第一階段

  攻擊者偽裝郵件內(nèi)容，規(guī)避跨提示注入攻擊（XPIA）分類器，使郵件看似是人類用戶的指令。

• 第二階段

  利用微軟鏈接過(guò)濾系統(tǒng)的弱點(diǎn)，通過(guò)Markdown格式隱藏惡意內(nèi)容。

• 第三階段

  嵌入惡意圖片引用，觸發(fā)瀏覽器向攻擊者服務(wù)器發(fā)送請(qǐng)求，泄露數(shù)據(jù)。

• -phase攻擊鏈：

• 其他技術(shù)：

潛在風(fēng)險(xiǎn)：

• 攻擊者可通過(guò)外部郵件嵌入惡意指令，誘導(dǎo)AI系統(tǒng)訪問(wèn)并泄露特權(quán)數(shù)據(jù)，包括郵件、OneDrive文件、SharePoint站點(diǎn)和Teams對(duì)話等敏感內(nèi)容。

• 修復(fù)情況

  微軟已通過(guò)服務(wù)端修復(fù)全面緩解漏洞，無(wú)需客戶采取任何行動(dòng)。

• 漏洞影響

  目前沒(méi)有證據(jù)顯示該漏洞在現(xiàn)實(shí)中被利用，未對(duì)任何客戶造成影響。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！