CVE-2026-64954
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Velociraptor umożliwia planowanie nowych kolekcji za pomocą zapytań VQL w notatnikach. Wymagane jest uprawnienie COLLECT_CLIENT, ale nie jest ono egzekwowane, gdy użytkownik może uruchomić zapytanie VQL, które resetuje dostawcę autoryzacji. Użytkownik z rolą analityka może uruchamiać nowe kolekcje, które zwykle wymagają roli badacza, co stanowi eskalację uprawnień.
Ocena ryzyka
Nieautoryzowane uruchamianie kolekcji może prowadzić do niekontrolowanego zbierania danych lub innych działań, które powinny być ograniczone do wyższych ról.
Rekomendacja
Zaktualizuj Velociraptor do wersji, która poprawnie egzekwuje uprawnienia COLLECT_CLIENT, oraz ogranicz możliwość uruchamiania dowolnych zapytań VQL.
Oryginalny opis (angielski, źródło NVD)
Velociraptor allows scheduling new collections via VQL queries in notebooks. For a user to schedule a new collection, they require the COLLECT_CLIENT permission. However, this is not enforced when the user can run a VQL query which resets the authorization provider. This allows a user who can run arbitrary VQL (usually with the "analyst" role) to launch new collections (usually requires the "investigator" role). This vulnerability is an escalation from an analyst to investigator role.