mauzy0x00/velociraptor_cve-2025-6264_pocExploit de prova de conceito para CVE-2025-6264 no Velociraptor, demonstrando escalonamento de privilégios por meio de verificações de permissão ausentes para redirecionar clientes a um servidor malicioso para assumir o controle do endpoint.
AVISO: Este é um projeto de pesquisa educacional. Eu não descobri esta vulnerabilidade. Este repositório demonstra a CVE-2025-6264 para fins de aprendizado
O artefato Admin.Client.UpdateClientConfig não possui verificações de permissão. Usuários com a função Investigador (que possuem permissão COLLECT_CLIENT) podem usá-lo para atualizar configurações de clientes quando não deveriam. Isso permite redirecionar clientes para o seu próprio servidor Velociraptor malicioso e assumir o controle dos endpoints.
Artigo completo no meu blog: https://blog.mauzy.net/technology/rapid7-velociraptor-exploit-poc/
Este script visa auxiliar na exploração desta CVE. Ele faz isso da seguinte forma:
A configuração de cliente gerada está em formato YAML e deve ser inserida no artefato vulnerável Admin.Client.UpdateClientConfig usando um usuário com privilégios reduzidos.
Após executar o script, o servidor malicioso do atacante fica ouvindo a conexão dos clientes. Uma vez que o UpdateClientConfig é executado, os clientes irão gerar novas chaves e conectar ao seu servidor em vez do legítimo.
Como usar:
chmod +x 2025-6264_setup.sh
sudo ./2025-6264_setup.sh
Se o velociraptor já estiver instalado no seu sistema, você pode gerar um arquivo de configuração:
./2025-6264_setup.sh --client-only
Para desinstalar o Velociraptor:
sudo apt autoremove velociraptor-server