LONDON (IT BOLTWISE) – Ein neuer Sicherheitsfehler im Microsoft 365 Copilot Enterprise Search könnte Angreifern per „One-Click“-Exfiltration E-Mails, Datei-Zugriffe und sogar MFA-Codes zugänglich gemacht haben. Forschende kombinieren dafür drei Schwachstellenklassen zu einem Pfad, der ohne Passwort und ohne Prompt-Abfrage auskommt. Besonders kritisch ist der Weg über die Streaming-Ausgabe und eine CSP-Allowlist, bei der Bing zum Abfluss-Proxysystem wird. Microsoft hat die Lücke auf Backend-Ebene geschlossen, dennoch zeigen die Details, wie verwundbar KI-gestützte Suchfunktionen gegenüber modernen Injection-Techniken bleiben.
Microsofts KI-Assistenz wird in Unternehmen längst als „Produktivitäts-Schicht“ verstanden: Copilot Enterprise Search soll Informationen auffinden, die ein Nutzer ohnehin über Microsoft Graph abrufen darf. Genau diese nahtlose Einbindung macht Sicherheitsfehler in der Such- und Ergebnisgenerierung so brisant. Wie Sicherheitsforschende von Varonis Threat Labs berichten, lässt sich mit einem vertrauten, legitimen Microsoft-Link eine Kette von Schwächen so auslösen, dass Angreifer Daten aus dem Copilot-Index und aus angrenzenden Kontexten ausleiten könnten. Der Ansatz zielt auf einen One-Click-Flow ab: kein zusätzlicher Login, kein Prompt und keine weiteren Interaktionen jenseits des Klicks.
Im Kern geht es um eine Schwachstelle, die Microsoft als CVE-2026-42824 als kritisch einstuft. Interessant ist dabei der Bewertungsstreit: Microsoft nennt einen CVSS-Wert von 6,5, während die National Vulnerability Database (NVD) auf 7,5 kommt. Microsofts Advisory beschreibt den Mechanismus als Command-Injection, die Informationen netzwerkübergreifend zugänglich machen kann. In der technischen Ausarbeitung zeigt sich jedoch ein Zusammenspiel aus einer KI-spezifischen Schwachstelle und zwei „klassischen“ Web-Fehlerbildern. Laut Varonis ist das Ergebnis ein SuchLeak genannter Ablauf, der nicht durch einen einzelnen Fehler, sondern durch das Timing und die Parameterinterpretation überhaupt erst „klickbar“ wird.
Die technische Eintrittsstelle liegt in einem URL-Parameter, der eigentlich für eine natürliche Spracheingabe gedacht ist: dem q-Parameter in der Copilot Enterprise Search-URL. Varonis argumentiert, dass Copilot diesen Parameter nicht nur als Suchstring versteht, sondern als ausführbare Anweisung („Parameter-to-Prompt injection“). Praktisch bedeutet das: Ein Angreifer kann Inhalte so in die URL kodieren, dass Copilot Aufgaben ausführt, die über die Suche hinausgehen. Der Bericht beschreibt als Beispiel, wie Copilot zum Zugriff auf Postfachdetails und zur Weiterverarbeitung eines gefundenen Textfragments angestoßen wird, das anschließend in einer weiterführenden Ziel-URL landet.
Damit allein wäre die Exfiltration aber noch nicht zuverlässig. Der zweite Baustein ist eine Race-Condition im Rendering der Antworten. Microsofts Guardrails sollen die vom KI-Modell erzeugten Inhalte so kapseln, dass der Browser sie als Text statt als ausführbares Markup interpretiert. Der Haken liegt im Timing: Wenn das KI-Ergebnis bereits als Stream an den Client gesendet wird, kann eine injizierte Tag-Struktur in genau dem Moment sicht- und aktivierbar sein, bevor die spätere Neutralisierung greift. Für Unternehmen ist das vor allem deswegen relevant, weil moderne Frontends häufig mit Streaming-APIs arbeiten, bei denen „Nachträgliche Sanitization“ in manchen Pfaden zu spät kommen kann.
Der dritte Schritt nutzt schließlich Content Security Policy (CSP)-Logik zu Gunsten des Angreifers. Die beschriebenen Bildabrufe erfolgen über eine erlaubte Quelle: während der CSP in m365.cloud.microsoft das Laden von Bildern aus beliebigen Domains blockiert, ist *.bing.com offenbar allowlistet. Varonis beschreibt damit Bing als Exfiltration-Proxy: Ein Angriff lenkt einen Abruf auf ein Bing-„Search by Image“-Endpoint, bei dem Bing serverseitig das Bild fetcht und für Analysen verarbeitet. Entscheidend ist, dass CSPs im Browser nicht mehr greifen, wenn die Anfrage aus Bings Infrastruktur heraus startet. Der Angreifer kann dann auf Serverlogs die kodierten Daten indirekt wiederfinden.
Aus Marktsicht ist diese Kombination besonders lehrreich, weil sie zeigt, wie schnell „alte“ Kategorien wieder in Reichweite geraten, sobald KI-basierte Interpretationsschichten hinzukommen. Varonis erinnert außerdem daran, dass ähnliche One-Click- bzw. Zero-Interaction-Muster zuvor bereits bei Copilot Personal (Reprompt-Angriffe) und in anderen Leaks wie EchoLeak (CVE-2025-32711) sichtbar wurden, einschließlich eines „zero-click“-Ansatzes von Aim Security. Für viele Teams ist das ein Hinweis darauf, dass Sicherheitsdesign im KI-Kontext nicht nur Prompting und Output-Filter betrifft, sondern auch URL-Parameter-Parsing, Streaming-Frontend-Verhalten sowie CSP- und Fetch-Gateways. Wettbewerber wie Google und andere Anbieter von KI-Such- und Assistenzprodukten müssen daher ähnliche Angriffsflächen in ihren Integrationen systematisch abprüfen, gerade wenn „managed services“ keine lokalen Patches erlauben.
Für die Unternehmenspraxis verschiebt sich damit die Risikolandschaft von „nur“ Datenleak zu potenziellen Account-Übernahmen. Der Bericht betont, dass die zeitkritischsten Informationen in der Inbox liegen könnten: Einmalcodes, MFA-Codes sowie Links zum Zurücksetzen von Passwörtern, die oft nur für wenige Minuten gültig sind. Selbst wenn Microsoft den Fehler auf Backend-Ebene behoben hat, bleibt die Annahme relevant, dass Copilot selbst im normalen Betrieb auf Daten zugreift, die ein Angreifer durch solche Pfade missbrauchen könnte. Aus Governance-Sicht sollten Admins daher weniger auf reines „Patchen“ setzen, sondern auf Überwachung und Eindämmung: auffällige Copilot-Search-URLs mit kodierten Payloads sowie ungewöhnliche Outbound-Requests Richtung Bing-Image-Endpunkte sind dabei konkrete Suchmuster.
Der Blick nach vorn zeigt zudem, warum KI-gestützte Suche langfristig stärker als klassisches Web-Szenario abgesichert werden muss. Die Geschichte um SearchLeak deutet darauf hin, dass Guardrails zwar erforderlich sind, aber in einer Streaming-Architektur konsistent durchgängig sein müssen, nicht erst „nachträglich“. Ein sinnvoller Weg ist die Reduktion des erreichbaren Datenumfangs durch Indexierungs- und Berechtigungssteuerung, etwa indem Copilot weniger sensiblen Inhalt indexiert oder fein granuliert, welche SharePoint-, OneDrive- oder Mail-Kontexte überhaupt in Such- und Generierungsantworten einfließen. Außerdem sollten Logs und DLP-Regeln auf Muster wie Parameter-in-Parameter-Logik sowie serverseitige Proxy-Abrufe trainiert werden. So sinkt die Wirkung zukünftiger Schwächen—und Entwickler gewinnen verlässlichere Leitplanken für KI-Integration im Enterprise-Umfeld.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "One-Click-Bug in Microsoft 365 Copilot SearchLeak: Datenabfluss über Bing möglich" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "One-Click-Bug in Microsoft 365 Copilot SearchLeak: Datenabfluss über Bing möglich" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »One-Click-Bug in Microsoft 365 Copilot SearchLeak: Datenabfluss über Bing möglich« bei Google Deutschland suchen, bei Bing oder Google News!