CVE-2025-32711

Nome do Software Vulnerável e Versões Afetadas Microsoft 365 Copilot (versões afetadas não especificadas)

Descrição EchoLeak é uma vulnerabilidade crítica de zero-click que permite que um invasor remoto não autorizado exfiltre dados organizacionais sensíveis sem qualquer interação do usuário. O problema decorre da falta de limpeza de dados no nível de gerenciamento e de violações de escopo do LLM no motor RAG (Retrieval-Augmented Generation), que mistura entradas não confiáveis com dados internos.

A exploração ocorre por meio de uma cadeia de três etapas: primeiro, um invasor envia um e-mail elaborado contendo instruções ocultas projetadas para ignorar os filtros de injeção de prompt. Segundo, quando um usuário consulta o Copilot para tarefas rotineiras, o sistema recupera o e-mail malicioso via Microsoft Graph e segue as instruções para extrair dados internos sensíveis de caixas de correio, documentos do SharePoint, arquivos do OneDrive e histórico de chat do Teams. Terceiro, os dados são exfiltrados ao serem incorporados em links ou imagens de referência, utilizando um proxy do Microsoft Teams para ignorar as Políticas de Segurança de Conteúdo (CSP) e enviar os dados codificados ao invasor.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.