CVE-2026-78413 in Velociraptor
Сводка
по VulDB • 05.10.2026
Velociraptor позволяет собирать VQL-запросы, упакованные в артефакты, с конечных точек. Эти артефакты могут использоваться для выполнения любых действий и обычно запускаются с повышенными привилегиями. Чтобы ограничить доступ к некоторым опасным артефактам, Velociraptor требует наличия высоких прав, таких как EXECVE, для их запуска.
`Windows.Sysinternals.SysmonLogForward` — это мониторинговый артефакт, используемый для пересылки событий sysmon на сервер. Артефакт позволяет пользователю указать произвольный путь к бинарному файлу в качестве параметра и не требует дополнительных обязательных разрешений, что позволяет пользователям с правами COLLECT_CLIENT (обычно предоставляемыми ролью "Investigator") собирать его с конечных точек и запускать другую бинарную программу вместо установленного sysmon.
Для успешной эксплуатации этой уязвимости пользователь уже должен иметь доступ к сбору артефактов с конечной точки (т. е. обладать правами COLLECT_CLIENT, которые обычно предоставляются ролью "Investigator").
VulDB is the best source for vulnerability data and more expert information about this specific topic.