CVE-2026-6863
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Velociraptor w wersjach przed 0.76.4 występuje obejście autoryzacji między organizacjami w HTTP API. Użytkownik z rolą reader w organizacji root (najniższa rola z uprawnieniem READ_RESULTS) może pojedynczym uwierzytelnionym żądaniem HTTP GET odczytać dowolne pliki z innych organizacji, nawet bez jawnych uprawnień w organizacji docelowej. Problem nie występuje w drugą stronę.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może uzyskać dostęp do danych z innych organizacji, co narusza izolację i może prowadzić do wycieku wrażliwych informacji. Wymaga jedynie uwierzytelnienia w organizacji root.
Rekomendacja
Należy zaktualizować Velociraptor do wersji 0.76.4 lub nowszej, która naprawia obejście autoryzacji między organizacjami.
Inne podatności w Velociraptor
Zobacz wszystkie- CVE-2026-19072Krytyczne
Velociraptor przechowuje skompilowany VQL w obiekcie hunt wewnętrznie, aby uniknąć ponownej kompilacji artefaktów dla każdego punktu końcowego w polowaniu. Chociaż pole "compiled_collector_args" jest polem wewnętrznym, Velociraptor pozwalał na jego ustawienie z wywołania API użytkownika. Pozwala to innemu użytkownikowi, który może zaplanować polowanie (minimalna rola "investigator"), na ustawienie skompilowanych instrukcji VQL dla polowania z pominięciem kontroli ACL, które normalnie byłyby stosowane. Ta luka może zostać eskalowana, aby pozwolić użytkownikowi "investigator" na uruchamianie dowolnych instrukcji VQL jako użytkownik administracyjny na serwerze Velociraptor.
- CVE-2026-19583Krytyczne
Velociraptor pozwala ograniczać dostęp do wrażliwych artefaktów poprzez dodatkowe uprawnienia, np. artefakt Linux.Sys.BashShell wymaga uprawnienia EXECVE. Jednak dla artefaktów monitoringu klienta nie zaimplementowano takiej kontroli ani wymogu typu CLIENT_EVENTS. Umożliwia to każdemu użytkownikowi mogącemu planować artefakty monitoringu klienta zaplanowanie również artefaktów w inny sposób ograniczonych.
- CVE-2026-78413Średnie
Velociraptor pozwala na zbieranie zapytań VQL zapakowanych w Artefakty z punktów końcowych. Artefakt Windows.Sysinternals.SysmonLogForward pozwala użytkownikowi określić dowolną ścieżkę binarną jako parametr i nie wymuszał dodatkowego wymaganego uprawnienia, umożliwiając użytkownikom z uprawnieniami COLLECT_CLIENT uruchomienie innego programu binarnego niż zainstalowany sysmon.
- CVE-2026-78411Średnie
Velociraptor's SetClientMetadata używał niewłaściwego sprawdzania uprawnień do wymuszania ustawiania metadanych na serwerze. Pozwala to użytkownikowi z uprawnieniami LABEL_CLIENTS na aktualizację metadanych serwera, które często przechowują konfigurację witryny i powinny być aktualizowane tylko przez administratora serwera.
- CVE-2026-78412Średnie
API gRPC WatchEvent w Velociraptor pozwala na określenie OrgId organizacji, z której mają być strumieniowane zdarzenia. Serwer sprawdza uprawnienia API względem organizacji wywołującego, a nie żądanej organizacji. Pozwala to użytkownikowi z dostępem API w jednej organizacji na odczyt zdarzeń z innej organizacji, do której nie ma uprawnień.
- CVE-2026-77798Średnie
Velociraptor zawiera warunek zakleszczenia, który może być wywołany przez uwierzytelnionych użytkowników. Problem wynika z błędu zarządzania blokadami w module zarządzania użytkownikami.
- CVE-2026-77797Niskie
Biblioteka prefetch w Velociraptor zawiera podatność poza zakresem (out of bounds), która może powodować awarię podczas parsowania niektórych nieprawidłowo sformowanych plików prefetch.
- CVE-2026-19584Wysokie
Velociraptor tworzy kopie zapasowe notatników w domyślnie włączonej funkcji codziennego backupu. Podczas przywracania kopii zawartość komórek notatnika jest interpolowana do szablonu bez kontroli ACL. Umożliwia to złośliwemu użytkownikowi z uprawnieniem NOTEBOOK_EDITOR umieszczenie zapytania VQL, które zostanie wykonane z podwyższonymi uprawnieniami po przywróceniu kopii.
- CVE-2026-19200Wysokie
Funkcja VQL verify() w Velociraptor umożliwia użytkownikowi weryfikację artefaktu pod kątem błędów składniowych i innych. Z powodu błędu implementacji funkcja używa globalnego repozytorium artefaktów, co pozwala wywołującym na nadpisywanie istniejących artefaktów bez wymaganych uprawnień. Atakujący potrzebuje jedynie uprawnienia NOTEBOOK_EDIT (np. rola analityka), aby wywołać tę funkcję.
- CVE-2026-15371Wysokie
Interfejs webowy Velociraptor pozwala na określenie niestandardowego typu dla kolumn w tabelach. Typ URL przyjmuje wartość komórki i tworzy URL, który można kliknąć w GUI. Kod nie ogranicza dozwolonych schematów w tym URL, co pozwala atakującemu na określenie schematu JavaScript, narażając użytkownika na XSS.
Oryginalny opis (angielski, źródło NVD)
Velociraptor versions prior to 0.76.4 contain a cross organization authorization bypass in the HTTP API. A user with only the reader role in the root organization (the lowest authenticated role, holding only READ_RESULTS permission ) can issue a single authenticated HTTP GET that can read any files from other orgs - even if they have no explicit permissions in the target org. However, the problem does not occur in reverse - a user with read access to a sub org is unable to read from other org or the root org.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS