SearchLeak-Sicherheitslücke: Angreifer konnten Microsoft-365-Daten mit einem Klick abgreifen
KI-generiert mit ChatGPT
Ein Klick auf einen scheinbar harmlosen Link zu einer echten microsoft.com-Domain hätte genügt. Mehr brauchte der Angriff nicht. Danach konnten Angreifer über Microsoft 365 Copilot Enterprise Search auf E-Mail-Inhalte, Kalenderdetails, MFA-Codes sowie Dateien aus OneDrive und SharePoint zugreifen.
- Wie der Angriff aus Sicht des Opfers aussah
- Die Angriffskette aus drei Schwachstellen
- Warum Prompt Injection alte Wunden aufreißt
- Was Verantwortliche jetzt unternehmen können
- Häufige Fragen
- Muss ich als Nutzer etwas tun, um mich zu schützen?
- Was ist eine Prompt Injection?
- Warum ist die Lücke für Unternehmen besonders heikel?
Möglich machte dies eine Verkettung von Schwachstellen, die auf den Namen SearchLeak getauft wurde. Entdeckt wurde diese von Varonis Threat Labs. Microsoft hat die Sicherheitslücke inzwischen serverseitig geschlossen. Hinweise auf eine Ausnutzung in freier Wildbahn gibt es bislang nicht. Varonis demonstrierte den Angriff als Machbarkeitsstudie.
Die Schwachstelle trägt die standardisierte Kennung CVE-2026-42824. Besagte CVE-Nummern vergibt eine internationale Stelle, damit jeder Bug eine eindeutige Referenz hat. Microsoft stuft sie als kritisch ein. Beim CVSS-Wert sind sich die Stellen uneinig: Microsoft vergibt 6.5, die US-Schwachstellendatenbank NVD 7.5. Entdeckt wurde die Schwachstellenkette von Dolev Taler, Sicherheitsforscher bei Varonis. Er wird auch im Microsoft-Advisory genannt.
AnzeigeWie der Angriff aus Sicht des Opfers aussah
Das Tückische an SearchLeak ist, wie harmlos der Angriff wirkt. Aus Sicht des Opfers passierte fast nichts. Der erwähnte Link wurde angeklickt, Copilot dachte einen Moment lang nach, das war es. Kein einziger Hinweis darauf, dass im Hintergrund Daten abgeflossen sind.
Besonders heikel ist der Ausgangspunkt. Der Link zeigte auf eine echte microsoft.com-Domain. Klassische Phishing-Filter und URL-Prüfungen schlagen bei solchen Links in der Regel nicht an, weil das Ziel vertrauenswürdig erscheint. Dass sich Phishing in der KI-Ära verändert, zeigt auch unsere Analyse, warum die AGENTS.md zur Sicherheitskontrolle wird. Das Opfer musste kein Passwort eingeben, keine Berechtigung bestätigen und kein zweites Mal klicken.
Weil SearchLeak die Enterprise-Stufe von Microsoft 365 betrifft, ging die Gefahr über persönliche Daten hinaus. Erreichbar war alles, worauf der angemeldete Nutzer im Unternehmen Zugriff hat. Dazu zählen E-Mails, Termine sowie Notizen, SharePoint-Dokumente, OneDrive-Dateien und weitere indexierte Geschäftsinhalte.
Die Angriffskette aus drei Schwachstellen
SearchLeak verkettet drei Schwachstellen, die einzeln begrenzt wirken. Erst ihr Zusammenspiel macht den Angriff gefährlich. Wir beschreiben das Prinzip. Dies ist keine Anleitung zum Nachbauen.
Den Einstieg bildet die sogenannte Parameter-to-Prompt-Injection. Die Suche von Microsoft 365 Copilot Enterprise nimmt einen URL-Parameter namens q entgegen. Eigentlich ist diese Funktion dafür gedacht, Suchanfragen in normaler Sprache zu beantworten. Das Problem ist, dass Copilot den Inhalt dieses Parameters nicht nur als Suchbegriff liest, sondern als Anweisung ausführt. Anders als der normale Copilot-Chat durchsucht die Enterprise-Suche dabei Firmendaten in Mails, Terminen und Dateien.
Das zweite Glied ist eine Wettlaufsituation beim Darstellen der Antwort. Microsoft umschließt die Ausgabe eigentlich mit einer Schutzschicht, die Markup als reinen Text behandelt. Besagter Schutz greift jedoch erst, nachdem Copilot die Antwort erzeugt hat. In diesem kurzen Zeitfenster feuert ein vom Angreifer eingeschleustes Bild-Tag, bevor die Bereinigung einsetzt.
Zum Schluss wird die Content Security Policy umgangen, also die Regel, welche Quellen eine Seite laden darf. Hier kommt Bing ins Spiel. Die Bildsuche von Bing ist in dieser Regel zugelassen. Ruft man ihren Endpunkt auf, holt der Server von Bing die hinterlegte Bild-URL selbst ab, um das Bild zu analysieren. Diese Anfrage kommt aus der Infrastruktur von Bing, nicht aus dem Browser des Opfers. Genau darüber verließen die erbeuteten Daten das Unternehmen und landeten in den Server-Protokollen des Angreifers. Welche Möglichkeiten Angreifer sonst noch haben, ordnet die Übersicht von Google DeepMind zu sechs Wegen, einen KI-Agenten zu kapern, ein.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
