CVE-2025-6264

概要

Velociraptorは、エンドポイントからArtifactsにパッケージ化されたVQLクエリの収集を可能にします。これらのアーティファクトはあらゆる処理に使用でき、通常は昇格された権限で実行されます。一部の危険なアーティファクトへのアクセスを制限するため、VelociraptorはEXECVEのような起動に高い権限を要求することを可能にします。Admin.Client.UpdateClientConfigは、クライアントの設定を更新するために使用されるアーティファクトです。このアーティファクトは追加の必須権限を強制しておらず、COLLECT_CLIENT権限（通常は「Investigator」ロールによって付与される）を持つユーザーがエンドポイントからそれを収集し、設定を更新することを許可していました。これは、任意のコマンド実行とエンドポイントの乗っ取りにつながる可能性があります。この脆弱性を悪用するには、ユーザーはすでにエンドポイントからアーティファクトを収集するアクセス権を持っている（つまり、通常は「Investigator」ロールによって付与されるCOLLECT_CLIENTを持っている）必要があります。

ソース

• velociraptor_CVE-2025-6264_PoCPoC

  CVE-2025-6264 における Velociraptor の概念実証エクスプロイト。権限チェックの欠落を悪用した特権昇格により、クライアントを悪意のあるサーバーにリダイレクトし、エンドポイントを乗っ取ることを実証します。