یک آسیب‌پذیری امنیتی بحرانی با شناسه CVE-2026-19072 در نرم‌افزار Velociraptor شناسایی شده است. این نقص امنیتی به کاربران با سطح دسترسی پایین اجازه می‌دهد تا محدودیت‌های دسترسی (ACL) را دور زده و دستورات VQL کامپایل شده را به صورت غیرمجاز اجرا کنند.
جزئیات فنی آسیب‌پذیری
در معماری Velociraptor، برای بهینه‌سازی فرآیند Hunt و جلوگیری از کامپایل مجدد Artifactها برای هر Endpoint، نسخه‌های کامپایل شده VQL در شیء Hunt ذخیره می‌شوند. فیلد compiled_collector_args به عنوان یک فیلد داخلی تعریف شده است، اما سیستم به اشتباه اجازه می‌داد این فیلد از طریق فراخوانی‌های API توسط کاربر تنظیم شود.
سناریوی حمله و تاثیرات
- سطح دسترسی مورد نیاز: هر کاربری که دارای نقش حداقلی
investigatorباشد و بتواند یک Hunt را زمان‌بندی کند، می‌تواند از این حفره استفاده کند. - مکانیسم حمله: مهاجم می‌تواند با تنظیم دستی مقادیر فیلد
compiled_collector_args، دستورات VQL دلخواه خود را جایگزین کرده و تمامی بررسی‌های ACL که به طور معمول بر روی کوئری‌ها اعمال می‌شود را دور بزند. - نتیجه: این نقص می‌تواند منجر به افزایش سطح دسترسی (Privilege Escalation) و اجرای عملیات‌های غیرمجاز در سطح شبکه و Endpoints شود.
