CVE-2026-78413 in Velociraptor
Tóm tắt
Bởi VulDB • 05/10/2026
Velociraptor cho phép thu thập các truy vấn VQL được đóng gói dưới dạng Artifacts từ các thiết bị đầu cuối (endpoints). Các artifact này có thể thực hiện mọi thao tác và thường chạy với quyền cao hơn. Để hạn chế việc truy cập vào một số artifact nguy hiểm, Velociraptor yêu cầu chúng cần có các quyền cao như EXECVE để khởi động.
`Windows.Sysinternals.SysmonLogForward` là một monitoring artifact được sử dụng để chuyển tiếp (forward) các sự kiện sysmon về máy chủ. Artifact này cho phép người dùng chỉ định đường dẫn binary tùy ý làm tham số, và không thực thi thêm quyền bắt buộc nào khác, cho phép những người dùng có quyền COLLECT_CLIENT (thường do vai trò "Investigator" cấp) thu thập nó từ các thiết bị đầu cuối và chạy một chương trình binary khác với binary sysmon đã cài đặt.
Để khai thác thành công lỗ hổng này, người dùng phải đã có quyền truy cập để thu thập artifacts từ thiết bị đầu cuối (tức là sở hữu quyền COLLECT_CLIENT, thường do vai trò "Investigator" cấp).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.