CVE-2026-18640
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
API NewNotebook nie wystarczająco sanityzuje swoje parametry, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniem NOTEBOOK_EDIT na zapisanie rekordu notatnika poza katalogiem magazynu danych organizacji. Zapisany plik musi mieć rozszerzenie ".json.db", ale może nadpisać inne pliki metadanych (takie jak rekordy ACL, polowania itp.), co może spowodować uszkodzenie tych plików i danych.
Ocena ryzyka
Ryzyko obejmuje możliwość uszkodzenia plików metadanych, co może prowadzić do naruszenia integralności danych i zakłócenia działania systemu. Może to również umożliwić nieautoryzowane modyfikacje.
Rekomendacja
Zaleca się aktualizację oprogramowania do wersji zawierającej poprawkę oraz wdrożenie odpowiedniej sanityzacji parametrów w API NewNotebook. Należy również ograniczyć uprawnienia użytkowników.
Inne podatności w Velociraptor
Zobacz wszystkie- CVE-2026-19072Krytyczne
Velociraptor przechowuje skompilowany VQL w obiekcie hunt wewnętrznie, aby uniknąć ponownej kompilacji artefaktów dla każdego punktu końcowego w polowaniu. Chociaż pole "compiled_collector_args" jest polem wewnętrznym, Velociraptor pozwalał na jego ustawienie z wywołania API użytkownika. Pozwala to innemu użytkownikowi, który może zaplanować polowanie (minimalna rola "investigator"), na ustawienie skompilowanych instrukcji VQL dla polowania z pominięciem kontroli ACL, które normalnie byłyby stosowane. Ta luka może zostać eskalowana, aby pozwolić użytkownikowi "investigator" na uruchamianie dowolnych instrukcji VQL jako użytkownik administracyjny na serwerze Velociraptor.
- CVE-2026-19583Krytyczne
Velociraptor pozwala ograniczać dostęp do wrażliwych artefaktów poprzez dodatkowe uprawnienia, np. artefakt Linux.Sys.BashShell wymaga uprawnienia EXECVE. Jednak dla artefaktów monitoringu klienta nie zaimplementowano takiej kontroli ani wymogu typu CLIENT_EVENTS. Umożliwia to każdemu użytkownikowi mogącemu planować artefakty monitoringu klienta zaplanowanie również artefaktów w inny sposób ograniczonych.
- CVE-2026-78413Średnie
Velociraptor pozwala na zbieranie zapytań VQL zapakowanych w Artefakty z punktów końcowych. Artefakt Windows.Sysinternals.SysmonLogForward pozwala użytkownikowi określić dowolną ścieżkę binarną jako parametr i nie wymuszał dodatkowego wymaganego uprawnienia, umożliwiając użytkownikom z uprawnieniami COLLECT_CLIENT uruchomienie innego programu binarnego niż zainstalowany sysmon.
- CVE-2026-78411Średnie
Velociraptor's SetClientMetadata używał niewłaściwego sprawdzania uprawnień do wymuszania ustawiania metadanych na serwerze. Pozwala to użytkownikowi z uprawnieniami LABEL_CLIENTS na aktualizację metadanych serwera, które często przechowują konfigurację witryny i powinny być aktualizowane tylko przez administratora serwera.
- CVE-2026-78412Średnie
API gRPC WatchEvent w Velociraptor pozwala na określenie OrgId organizacji, z której mają być strumieniowane zdarzenia. Serwer sprawdza uprawnienia API względem organizacji wywołującego, a nie żądanej organizacji. Pozwala to użytkownikowi z dostępem API w jednej organizacji na odczyt zdarzeń z innej organizacji, do której nie ma uprawnień.
- CVE-2026-77798Średnie
Velociraptor zawiera warunek zakleszczenia, który może być wywołany przez uwierzytelnionych użytkowników. Problem wynika z błędu zarządzania blokadami w module zarządzania użytkownikami.
- CVE-2026-77797Niskie
Biblioteka prefetch w Velociraptor zawiera podatność poza zakresem (out of bounds), która może powodować awarię podczas parsowania niektórych nieprawidłowo sformowanych plików prefetch.
- CVE-2026-19584Wysokie
Velociraptor tworzy kopie zapasowe notatników w domyślnie włączonej funkcji codziennego backupu. Podczas przywracania kopii zawartość komórek notatnika jest interpolowana do szablonu bez kontroli ACL. Umożliwia to złośliwemu użytkownikowi z uprawnieniem NOTEBOOK_EDITOR umieszczenie zapytania VQL, które zostanie wykonane z podwyższonymi uprawnieniami po przywróceniu kopii.
- CVE-2026-19200Wysokie
Funkcja VQL verify() w Velociraptor umożliwia użytkownikowi weryfikację artefaktu pod kątem błędów składniowych i innych. Z powodu błędu implementacji funkcja używa globalnego repozytorium artefaktów, co pozwala wywołującym na nadpisywanie istniejących artefaktów bez wymaganych uprawnień. Atakujący potrzebuje jedynie uprawnienia NOTEBOOK_EDIT (np. rola analityka), aby wywołać tę funkcję.
- CVE-2026-15371Wysokie
Interfejs webowy Velociraptor pozwala na określenie niestandardowego typu dla kolumn w tabelach. Typ URL przyjmuje wartość komórki i tworzy URL, który można kliknąć w GUI. Kod nie ogranicza dozwolonych schematów w tym URL, co pozwala atakującemu na określenie schematu JavaScript, narażając użytkownika na XSS.
Oryginalny opis (angielski, źródło NVD)
The NewNotebook API does not sufficiently sanitize its parameters allowing an authenticated user with NOTEBOOK_EDIT permission to write the notebook record outside the org's data store directory. The file written must have an extension of ".json.db" but can otherwise overwrite other metadata files (such as ACL records, hunts etc). This can corrupt these files and cause data corruption.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS