CVE-2026-78413
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Velociraptor pozwala na zbieranie zapytań VQL zapakowanych w Artefakty z punktów końcowych. Artefakt Windows.Sysinternals.SysmonLogForward pozwala użytkownikowi określić dowolną ścieżkę binarną jako parametr i nie wymuszał dodatkowego wymaganego uprawnienia, umożliwiając użytkownikom z uprawnieniami COLLECT_CLIENT uruchomienie innego programu binarnego niż zainstalowany sysmon.
Ocena ryzyka
Użytkownik z uprawnieniami COLLECT_CLIENT (zwykle rola Investigator) może wykorzystać tę podatność do uruchomienia dowolnego programu na punktach końcowych, co może prowadzić do eskalacji uprawnień lub wykonania złośliwego kodu.
Rekomendacja
Zaktualizuj Velociraptor do wersji, która wymusza dodatkowe uprawnienia dla artefaktu Windows.Sysinternals.SysmonLogForward, aby zapobiec nieautoryzowanemu uruchamianiu programów.
Inne podatności w Velociraptor
Zobacz wszystkie- CVE-2026-19072Krytyczne
Velociraptor przechowuje skompilowany VQL w obiekcie hunt wewnętrznie, aby uniknąć ponownej kompilacji artefaktów dla każdego punktu końcowego w polowaniu. Chociaż pole "compiled_collector_args" jest polem wewnętrznym, Velociraptor pozwalał na jego ustawienie z wywołania API użytkownika. Pozwala to innemu użytkownikowi, który może zaplanować polowanie (minimalna rola "investigator"), na ustawienie skompilowanych instrukcji VQL dla polowania z pominięciem kontroli ACL, które normalnie byłyby stosowane. Ta luka może zostać eskalowana, aby pozwolić użytkownikowi "investigator" na uruchamianie dowolnych instrukcji VQL jako użytkownik administracyjny na serwerze Velociraptor.
- CVE-2026-19583Krytyczne
Velociraptor pozwala ograniczać dostęp do wrażliwych artefaktów poprzez dodatkowe uprawnienia, np. artefakt Linux.Sys.BashShell wymaga uprawnienia EXECVE. Jednak dla artefaktów monitoringu klienta nie zaimplementowano takiej kontroli ani wymogu typu CLIENT_EVENTS. Umożliwia to każdemu użytkownikowi mogącemu planować artefakty monitoringu klienta zaplanowanie również artefaktów w inny sposób ograniczonych.
- CVE-2026-78411Średnie
Velociraptor's SetClientMetadata używał niewłaściwego sprawdzania uprawnień do wymuszania ustawiania metadanych na serwerze. Pozwala to użytkownikowi z uprawnieniami LABEL_CLIENTS na aktualizację metadanych serwera, które często przechowują konfigurację witryny i powinny być aktualizowane tylko przez administratora serwera.
- CVE-2026-78412Średnie
API gRPC WatchEvent w Velociraptor pozwala na określenie OrgId organizacji, z której mają być strumieniowane zdarzenia. Serwer sprawdza uprawnienia API względem organizacji wywołującego, a nie żądanej organizacji. Pozwala to użytkownikowi z dostępem API w jednej organizacji na odczyt zdarzeń z innej organizacji, do której nie ma uprawnień.
- CVE-2026-77798Średnie
Velociraptor zawiera warunek zakleszczenia, który może być wywołany przez uwierzytelnionych użytkowników. Problem wynika z błędu zarządzania blokadami w module zarządzania użytkownikami.
- CVE-2026-77797Niskie
Biblioteka prefetch w Velociraptor zawiera podatność poza zakresem (out of bounds), która może powodować awarię podczas parsowania niektórych nieprawidłowo sformowanych plików prefetch.
- CVE-2026-19584Wysokie
Velociraptor tworzy kopie zapasowe notatników w domyślnie włączonej funkcji codziennego backupu. Podczas przywracania kopii zawartość komórek notatnika jest interpolowana do szablonu bez kontroli ACL. Umożliwia to złośliwemu użytkownikowi z uprawnieniem NOTEBOOK_EDITOR umieszczenie zapytania VQL, które zostanie wykonane z podwyższonymi uprawnieniami po przywróceniu kopii.
- CVE-2026-19200Wysokie
Funkcja VQL verify() w Velociraptor umożliwia użytkownikowi weryfikację artefaktu pod kątem błędów składniowych i innych. Z powodu błędu implementacji funkcja używa globalnego repozytorium artefaktów, co pozwala wywołującym na nadpisywanie istniejących artefaktów bez wymaganych uprawnień. Atakujący potrzebuje jedynie uprawnienia NOTEBOOK_EDIT (np. rola analityka), aby wywołać tę funkcję.
- CVE-2026-15371Wysokie
Interfejs webowy Velociraptor pozwala na określenie niestandardowego typu dla kolumn w tabelach. Typ URL przyjmuje wartość komórki i tworzy URL, który można kliknąć w GUI. Kod nie ogranicza dozwolonych schematów w tym URL, co pozwala atakującemu na określenie schematu JavaScript, narażając użytkownika na XSS.
- CVE-2026-64955Średnie
Velociraptor nie oczyszcza danych eksportowanych do CSV, co może prowadzić do wykonania formuł przez Microsoft Excel podczas importu. Komórki zaczynające się od określonych znaków są traktowane jako formuły, co umożliwia dowolne wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
Velociraptor allows collection of VQL queries packaged into Artifacts from endpoints. These artifacts can be used to do anything and usually run with elevated permissions. To limit access to some dangerous artifact, Velociraptor allows for those to require high permissions like EXECVE to launch. The `Windows.Sysinternals.SysmonLogForward` is a monitoring artifact used to forward sysmon events to the server. The artifact allows the user to specify an arbitrary binary path as a parameter, and did not enforce an additional required permission, allowing users with COLLECT_CLIENT permissions (normally given by the "Investigator" role) to collect it from endpoints and run a different binary program than the installed sysmon binary. To successfully exploit this vulnerability the user must already have access to collect artifacts from the endpoint (i.e. have the COLLECT_CLIENT given typically by the "Investigator" role).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS