Falha Crítica na Writer IA Expõe Dados de Sessão e Acesso Administrativo
Aprofundamento CEVIU
Linha do tempo
Vulnerabilidade permitia invasão de sistema de admissão de faculdade via cookies sem autenticação.
IA do Snowflake Cortex exposta a ataques de prompt injection para executar malware e exfiltrar dados.
Vulnerabilidade no VSCode permitia roubo de tokens GitHub com um clique via link malicioso.
Falha crítica WriteOut na Writer IA expõe dados de sessão e acesso administrativo via prévias de agente.
Perguntas frequentes
O que é a vulnerabilidade WriteOut na Writer IA?
A WriteOut é uma falha crítica de isolamento de sessão na plataforma WriteOut da Writer. Ela permitia que cibercriminosos sequestrassem sessões de usuários e roubassem cookies por meio de links de prévia de agentes maliciosos, levando ao acesso indevido a contas de outras empresas, incluindo privilégios administrativos.
Como um ataque WriteOut era executado?
Um atacante criava um agente com uma prévia ao vivo e compartilhava um link público. Quando um usuário logado clicava no link, o navegador anexava o cookie de sessão do Writer. Este cookie era então enviado para um sandbox controlado pelo atacante, que conseguia ler, exfiltrar o cookie e usá-lo para controlar a conta da vítima.
Qual o risco de uma falha de isolamento de sessão em plataformas corporativas de IA?
Falhas como a WriteOut permitem o sequestro de contas entre diferentes locatários (cross-tenant compromise). Isso significa que um atacante em uma empresa pode invadir as contas de outra empresa que usa a mesma plataforma, acessando dados sensíveis, chats privados e modelos de IA. O impacto pode ser devastador para a segurança corporativa.
Como a Writer corrigiu a vulnerabilidade?
A Writer implementou duas medidas principais. Primeiro, impediu que os cookies de sessão dos usuários fossem encaminhados para as prévias em sandbox. Segundo, moveu essas prévias para uma origem isolada. Essas ações impedem a exfiltração de cookies e o sequestro de sessões.
Fontes
- thehackernews.comfonte original
- Categoria
- CEVIU Segurança da Informação
- Publicado
- 08 de julho de 2026
- Editoria
- CEVIU Segurança da Informação