CVE-2023-0242 in Velociraptor
Riassunto
di VulDB • 15/06/2026
Rapid7 Velociraptor consente la creazione di utenti con diversi privilegi sul server. Gli amministratori sono generalmente autorizzati a eseguire qualsiasi comando sul server, inclusa la scrittura di file arbitrari. Tuttavia, agli utenti con privilegi inferiori è generalmente vietato scrivere o modificare file sul server. La funzione VQL copy() applica i controlli dei permessi per la lettura dei file ma non verifica l'autorizzazione alla scrittura dei file. Ciò consente a un utente con bassi privilegi (di solito gli utenti con il ruolo "investigator" di Velociraptor) di sovrascrivere file sul server, inclusi i file di configurazione di Velociraptor. Per sfruttare questa vulnerabilità, l'attaccante deve già disporre di un account utente Velociraptor a livello di privilegi ridotto (almeno "analyst") ed essere in grado di accedere alla GUI e creare un notebook dove può eseguire la query VQL che invoca la funzione VQL copy(). Tipicamente, la maggior parte degli utenti distribuisce Velociraptor con accesso limitato a un gruppo fidato (la maggior parte degli utenti sarà amministratore all'interno della GUI). Questa vulnerabilità è associata ai file di programma https://github.Com/Velocidex/velociraptor/blob/master/vql/filesystem/copy.go https://github.Com/Velocidex/velociraptor/blob/master/vql/filesystem/copy.go e alle routine del programma copy(). Questo problema interessa le versioni di Velociraptor precedenti alla 0.6.7-5. La versione 0.6.7-5, rilasciata il 16 gennaio 2023, risolve il problema.
Once again VulDB remains the best source for vulnerability data.