CVE-2026-64954
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Velociraptor umożliwia planowanie nowych kolekcji za pomocą zapytań VQL w notatnikach. Wymagane jest uprawnienie COLLECT_CLIENT, ale nie jest ono egzekwowane, gdy użytkownik może uruchomić zapytanie VQL, które resetuje dostawcę autoryzacji. Użytkownik z rolą analityka może uruchamiać nowe kolekcje, które zwykle wymagają roli badacza, co stanowi eskalację uprawnień.
Ocena ryzyka
Nieautoryzowane uruchamianie kolekcji może prowadzić do niekontrolowanego zbierania danych lub innych działań, które powinny być ograniczone do wyższych ról.
Rekomendacja
Zaktualizuj Velociraptor do wersji, która poprawnie egzekwuje uprawnienia COLLECT_CLIENT, oraz ogranicz możliwość uruchamiania dowolnych zapytań VQL.
Inne podatności w Velociraptor
Zobacz wszystkie- CVE-2026-19072Krytyczne
Velociraptor przechowuje skompilowany VQL w obiekcie hunt wewnętrznie, aby uniknąć ponownej kompilacji artefaktów dla każdego punktu końcowego w polowaniu. Chociaż pole "compiled_collector_args" jest polem wewnętrznym, Velociraptor pozwalał na jego ustawienie z wywołania API użytkownika. Pozwala to innemu użytkownikowi, który może zaplanować polowanie (minimalna rola "investigator"), na ustawienie skompilowanych instrukcji VQL dla polowania z pominięciem kontroli ACL, które normalnie byłyby stosowane. Ta luka może zostać eskalowana, aby pozwolić użytkownikowi "investigator" na uruchamianie dowolnych instrukcji VQL jako użytkownik administracyjny na serwerze Velociraptor.
- CVE-2026-19583Krytyczne
Velociraptor pozwala ograniczać dostęp do wrażliwych artefaktów poprzez dodatkowe uprawnienia, np. artefakt Linux.Sys.BashShell wymaga uprawnienia EXECVE. Jednak dla artefaktów monitoringu klienta nie zaimplementowano takiej kontroli ani wymogu typu CLIENT_EVENTS. Umożliwia to każdemu użytkownikowi mogącemu planować artefakty monitoringu klienta zaplanowanie również artefaktów w inny sposób ograniczonych.
- CVE-2026-78413Średnie
Velociraptor pozwala na zbieranie zapytań VQL zapakowanych w Artefakty z punktów końcowych. Artefakt Windows.Sysinternals.SysmonLogForward pozwala użytkownikowi określić dowolną ścieżkę binarną jako parametr i nie wymuszał dodatkowego wymaganego uprawnienia, umożliwiając użytkownikom z uprawnieniami COLLECT_CLIENT uruchomienie innego programu binarnego niż zainstalowany sysmon.
- CVE-2026-78411Średnie
Velociraptor's SetClientMetadata używał niewłaściwego sprawdzania uprawnień do wymuszania ustawiania metadanych na serwerze. Pozwala to użytkownikowi z uprawnieniami LABEL_CLIENTS na aktualizację metadanych serwera, które często przechowują konfigurację witryny i powinny być aktualizowane tylko przez administratora serwera.
- CVE-2026-78412Średnie
API gRPC WatchEvent w Velociraptor pozwala na określenie OrgId organizacji, z której mają być strumieniowane zdarzenia. Serwer sprawdza uprawnienia API względem organizacji wywołującego, a nie żądanej organizacji. Pozwala to użytkownikowi z dostępem API w jednej organizacji na odczyt zdarzeń z innej organizacji, do której nie ma uprawnień.
- CVE-2026-77798Średnie
Velociraptor zawiera warunek zakleszczenia, który może być wywołany przez uwierzytelnionych użytkowników. Problem wynika z błędu zarządzania blokadami w module zarządzania użytkownikami.
- CVE-2026-77797Niskie
Biblioteka prefetch w Velociraptor zawiera podatność poza zakresem (out of bounds), która może powodować awarię podczas parsowania niektórych nieprawidłowo sformowanych plików prefetch.
- CVE-2026-19584Wysokie
Velociraptor tworzy kopie zapasowe notatników w domyślnie włączonej funkcji codziennego backupu. Podczas przywracania kopii zawartość komórek notatnika jest interpolowana do szablonu bez kontroli ACL. Umożliwia to złośliwemu użytkownikowi z uprawnieniem NOTEBOOK_EDITOR umieszczenie zapytania VQL, które zostanie wykonane z podwyższonymi uprawnieniami po przywróceniu kopii.
- CVE-2026-19200Wysokie
Funkcja VQL verify() w Velociraptor umożliwia użytkownikowi weryfikację artefaktu pod kątem błędów składniowych i innych. Z powodu błędu implementacji funkcja używa globalnego repozytorium artefaktów, co pozwala wywołującym na nadpisywanie istniejących artefaktów bez wymaganych uprawnień. Atakujący potrzebuje jedynie uprawnienia NOTEBOOK_EDIT (np. rola analityka), aby wywołać tę funkcję.
- CVE-2026-15371Wysokie
Interfejs webowy Velociraptor pozwala na określenie niestandardowego typu dla kolumn w tabelach. Typ URL przyjmuje wartość komórki i tworzy URL, który można kliknąć w GUI. Kod nie ogranicza dozwolonych schematów w tym URL, co pozwala atakującemu na określenie schematu JavaScript, narażając użytkownika na XSS.
Oryginalny opis (angielski, źródło NVD)
Velociraptor allows scheduling new collections via VQL queries in notebooks. For a user to schedule a new collection, they require the COLLECT_CLIENT permission. However, this is not enforced when the user can run a VQL query which resets the authorization provider. This allows a user who can run arbitrary VQL (usually with the "analyst" role) to launch new collections (usually requires the "investigator" role). This vulnerability is an escalation from an analyst to investigator role.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS