Podatności Velociraptor

Velociraptor przechowuje skompilowany VQL w obiekcie hunt wewnętrznie, aby uniknąć ponownej kompilacji artefaktów dla każdego punktu końcowego w polowaniu. Chociaż pole "compiled_collector_args" jest polem wewnętrznym, Velociraptor pozwalał na jego ustawienie z wywołania API użytkownika. Pozwala to innemu użytkownikowi, który może zaplanować polowanie (minimalna rola "investigator"), na ustawienie skompilowanych instrukcji VQL dla polowania z pominięciem kontroli ACL, które normalnie byłyby stosowane. Ta luka może zostać eskalowana, aby pozwolić użytkownikowi "investigator" na uruchamianie dowolnych instrukcji VQL jako użytkownik administracyjny na serwerze Velociraptor.

Velociraptor pozwala ograniczać dostęp do wrażliwych artefaktów poprzez dodatkowe uprawnienia, np. artefakt Linux.Sys.BashShell wymaga uprawnienia EXECVE. Jednak dla artefaktów monitoringu klienta nie zaimplementowano takiej kontroli ani wymogu typu CLIENT_EVENTS. Umożliwia to każdemu użytkownikowi mogącemu planować artefakty monitoringu klienta zaplanowanie również artefaktów w inny sposób ograniczonych.

W Velociraptor przed 0.77.2 funkcja SQLPlugin.Call nie wymusza sprawdzeń FILESYSTEM_READ ani NETWORK przed przekazaniem kontrolowanego przez wywołującego connstring do sql.Open, co umożliwia dowolne wychodzące połączenia do baz danych. Złośliwy serwer MySQL może zażądać plików czytelnych dla procesu serwera, a analityk z uprawnieniem ANY_QUERY może użyć akcesora danych o zerowych uprawnieniach i ATTACH DATABASE do tworzenia plików bez sprawdzenia na poziomie wtyczki.

Velociraptor pozwala na zbieranie zapytań VQL zapakowanych w Artefakty z punktów końcowych. Artefakt Windows.Sysinternals.SysmonLogForward pozwala użytkownikowi określić dowolną ścieżkę binarną jako parametr i nie wymuszał dodatkowego wymaganego uprawnienia, umożliwiając użytkownikom z uprawnieniami COLLECT_CLIENT uruchomienie innego programu binarnego niż zainstalowany sysmon.

Velociraptor's SetClientMetadata używał niewłaściwego sprawdzania uprawnień do wymuszania ustawiania metadanych na serwerze. Pozwala to użytkownikowi z uprawnieniami LABEL_CLIENTS na aktualizację metadanych serwera, które często przechowują konfigurację witryny i powinny być aktualizowane tylko przez administratora serwera.

API gRPC WatchEvent w Velociraptor pozwala na określenie OrgId organizacji, z której mają być strumieniowane zdarzenia. Serwer sprawdza uprawnienia API względem organizacji wywołującego, a nie żądanej organizacji. Pozwala to użytkownikowi z dostępem API w jednej organizacji na odczyt zdarzeń z innej organizacji, do której nie ma uprawnień.

Velociraptor zawiera warunek zakleszczenia, który może być wywołany przez uwierzytelnionych użytkowników. Problem wynika z błędu zarządzania blokadami w module zarządzania użytkownikami.

Biblioteka prefetch w Velociraptor zawiera podatność poza zakresem (out of bounds), która może powodować awarię podczas parsowania niektórych nieprawidłowo sformowanych plików prefetch.

Velociraptor tworzy kopie zapasowe notatników w domyślnie włączonej funkcji codziennego backupu. Podczas przywracania kopii zawartość komórek notatnika jest interpolowana do szablonu bez kontroli ACL. Umożliwia to złośliwemu użytkownikowi z uprawnieniem NOTEBOOK_EDITOR umieszczenie zapytania VQL, które zostanie wykonane z podwyższonymi uprawnieniami po przywróceniu kopii.

Funkcja VQL verify() w Velociraptor umożliwia użytkownikowi weryfikację artefaktu pod kątem błędów składniowych i innych. Z powodu błędu implementacji funkcja używa globalnego repozytorium artefaktów, co pozwala wywołującym na nadpisywanie istniejących artefaktów bez wymaganych uprawnień. Atakujący potrzebuje jedynie uprawnienia NOTEBOOK_EDIT (np. rola analityka), aby wywołać tę funkcję.

Interfejs webowy Velociraptor pozwala na określenie niestandardowego typu dla kolumn w tabelach. Typ URL przyjmuje wartość komórki i tworzy URL, który można kliknąć w GUI. Kod nie ogranicza dozwolonych schematów w tym URL, co pozwala atakującemu na określenie schematu JavaScript, narażając użytkownika na XSS.

Velociraptor nie oczyszcza danych eksportowanych do CSV, co może prowadzić do wykonania formuł przez Microsoft Excel podczas importu. Komórki zaczynające się od określonych znaków są traktowane jako formuły, co umożliwia dowolne wykonanie kodu.

Funkcja VQL hunt_delete() w Velociraptor umożliwia usuwanie polowań. Velociraptor błędnie zastosował sprawdzanie uprawnień, wymagając tylko COLLECT_CLIENT (zwykle przypisywane roli 'investigator') zamiast uprawnienia DELETE_RESULTS (zwykle przypisywanego tylko administratorom).

Złośliwy klient Velociraptor może przesłać nieprawidłowy plik rzadki, który przy próbie rozwinięcia przez GUI powoduje panic i może doprowadzić do awarii procesu serwera. Problem to błąd dzielenia przez zero w funkcji ShouldPadFile().

Velociraptor umożliwia odczyt zestawów wyników Stacked z GUI. Ze względu na nieprawidłowe sprawdzanie ścieżki względem listy zabronionych prefiksów, użytkownik z dostępem do głównej organizacji może uzyskać dostęp do zestawów wyników z organizacji podrzędnych.

Velociraptor umożliwia planowanie nowych kolekcji za pomocą zapytań VQL w notatnikach. Wymagane jest uprawnienie COLLECT_CLIENT, ale nie jest ono egzekwowane, gdy użytkownik może uruchomić zapytanie VQL, które resetuje dostawcę autoryzacji. Użytkownik z rolą analityka może uruchamiać nowe kolekcje, które zwykle wymagają roli badacza, co stanowi eskalację uprawnień.

API NewNotebook nie wystarczająco sanityzuje swoje parametry, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniem NOTEBOOK_EDIT na zapisanie rekordu notatnika poza katalogiem magazynu danych organizacji. Zapisany plik musi mieć rozszerzenie ".json.db", ale może nadpisać inne pliki metadanych (takie jak rekordy ACL, polowania itp.), co może spowodować uszkodzenie tych plików i danych.

Gdy Velociraptor jest skonfigurowany do używania OIDC IdP do uwierzytelniania, używa claimu email jako nazwy użytkownika. Jednak niektóre IdP pozwalają użytkownikom na zmianę claimu email bez weryfikacji. Niektóre IdP nie ustawiają claimu "email_verified" i nie weryfikują faktycznie adresu email. Pozwala to użytkownikowi na podszycie się pod innego użytkownika poprzez ustawienie swojego adresu email w IdP, co umożliwia przejęcie konta.

Każdy uwierzytelniony użytkownik Velociraptor, nawet posiadający tylko rolę 'reader', może jednym żądaniem zakończyć działanie całego procesu serwera, wywołując SetPassword z nazwą użytkownika, która nie istnieje.

Velociraptor pozwala administratorowi orgi podrzędnej na usunięcie innych orgów, ponieważ sprawdza uprawnienie ORG_ADMIN w kontekście wywołującej orgi zamiast w orgi ROOT.

Interfejs API gRPC Velociraptor zawiera punkt końcowy VFSGetBuffer, który umożliwia odczyt plików z magazynu danych. Aby uniemożliwić użytkownikom odczyt wrażliwych plików lub dostęp do innych organizacji, ścieżka jest sprawdzana pod kątem listy zabronionych prefiksów. To sprawdzenie prefiksów można obejść, umożliwiając użytkownikowi dostęp do zwykle zabronionych plików. Jeśli użytkownik ma uprawnienia do odczytu w organizacji ROOT, umożliwia to dostęp do innych organizacji, do których użytkownik może nie mieć uprawnień.

Velociraptor przed wersją 0.77.2 sprawdza uprawnienie IMPERSONATE w orgi wywołującego zamiast w orgi docelowej, co pozwala administratorowi jednej orgi na podszywanie się pod użytkownika w innej orgi.

Biblioteka analizy NTFS w Velociraptor nieprawidłowo obsługuje kilka błędów związanych z przekroczeniem zakresu i wyczerpaniem pamięci, które mogą być wywołane przez złośliwie spreparowane obrazy NTFS. Zazwyczaj parser NTFS Velociraptor jest używany na żywych systemach plików NTFS, co ogranicza możliwość uszkodzenia systemu plików przez atakujących. Jednak w niektórych zastosowaniach (np. analiza martwych dysków) Velociraptor może być używany na niezaufanych plikach obrazów NTFS. Jeśli atakujący jest w stanie wstrzyknąć złośliwie uszkodzone woluminy NTFS, może spowodować awarię i odmowę usługi.

Brak kontroli autoryzacji w pluginach VQL upload_azure, upload_sftp i upload_smb umożliwia uwierzytelnionemu użytkownikowi z rolą analityka inicjowanie połączeń sieciowych wychodzących z serwera Velociraptor, omijając granicę uprawnień NETWORK ACL. Umożliwia to wewnętrzny rekonesans sieciowy i potencjalną eksfiltrację danych.

W Velociraptor w wersjach przed 0.76.4 występuje obejście autoryzacji między organizacjami w HTTP API. Użytkownik z rolą reader w organizacji root (najniższa rola z uprawnieniem READ_RESULTS) może pojedynczym uwierzytelnionym żądaniem HTTP GET odczytać dowolne pliki z innych organizacji, nawet bez jawnych uprawnień w organizacji docelowej. Problem nie występuje w drugą stronę.

W Velocidex Velociraptor poniżej wersji 0.76.5 endpoint gRPC GetUserRoles ma podatność ominięcia autoryzacji (CWE-639). Każdy uwierzytelniony użytkownik o niskich uprawnieniach może pobrać pełną politykę ACL (role i uprawnienia) dla dowolnego użytkownika we wszystkich organizacjach, podając odpowiednie parametry Name i Org.

Wersje Velociraptor przed 0.76.4 zawierają podatność na wyczerpanie zasobów w kanale kontrolnym agenta serwera. Pozwala to przejętemu lub złośliwemu klientowi Velociraptor na zawieszenie serwera poprzez wyczerpanie pamięci (OOM) przez wysyłanie spreparowanych wiadomości normalnym kanałem komunikacji klienta.

Rapid7 Velociraptor w wersjach przed 0.75.6 zawiera podatność na przechodzenie po katalogach na serwerach Linux, umożliwiającą nieuczciwemu klientowi przesłanie pliku zapisywanego poza katalogiem datastore. Problem wynika z niedostatecznego oczyszczania nazw katalogów kończących się kropką, gdzie tylko ostatnia kropka jest kodowana jako %2E.