CVE-2025-6264: Velociraptor-Privilege-Eskalation über das UpdateConfig-Artefakt | Kitploit

CVE-2025-6264

MittelVeröffentlicht

Velociraptor-Privilege-Eskalation über das UpdateConfig-Artefakt

Veröffentlicht: 20.06.2025
Aktualisiert: 28.11.2025
CNA zuweisen: rapid7
Beweise beobachtet: 28.08.2026

Primäres CVSS

5,5/ 10Mittel

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:L

EPSS-Wahrscheinlichkeitsschätzung

1,0 %

Niedrig · nächste 30 Tage

Perzentil: 61,7 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Velociraptor ermöglicht die Sammlung von VQL-Abfragen, die in Artefakten gebündelt sind, von Endpunkten. Diese Artefakte können für alles Mögliche verwendet werden und laufen in der Regel mit erhöhten Berechtigungen. Um den Zugriff auf einige gefährliche Artefakte einzuschränken, erlaubt Velociraptor, dass diese hohe Berechtigungen wie EXECVE zum Starten erfordern. Das Artefakt Admin.Client.UpdateClientConfig wird verwendet, um die Konfiguration des Clients zu aktualisieren. Dieses Artefakt erzwang keine zusätzlich erforderliche Berechtigung, sodass Benutzer mit COLLECT_CLIENT-Berechtigungen (normalerweise durch die Rolle „Investigator“ vergeben) es von Endpunkten sammeln und die Konfiguration aktualisieren konnten. Dies kann zu beliebiger Befehlsausführung und zur Übernahme des Endpunkts führen. Um diese Schwachstelle erfolgreich auszunutzen, muss der Benutzer bereits Zugriff haben, um Artefakte vom Endpunkt zu sammeln (d. h. über die COLLECT_CLIENT-Berechtigung verfügen, die normalerweise durch die Rolle „Investigator“ vergeben wird).

Quellen

velociraptor_CVE-2025-6264_PoCPoC
Proof-of-Concept-Exploit für CVE-2025-6264 in Velociraptor, der eine Privilegieneskalation durch fehlende Berechtigungsprüfungen demonstriert, um Clients auf einen bösartigen Server umzuleiten und so den Endpunkt zu übernehmen.

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.