CVE-2025-6264

Дисклеймер: Это образовательный исследовательский проект. Я не обнаруживал эту уязвимость. Этот репозиторий демонстрирует CVE-2025-6264 в учебных целях

Затронуты версии до 0.74.3
Затрагивает Windows, macOS и Linux

Артефакт Admin.Client.UpdateClientConfig не содержит проверок разрешений. Пользователи с ролью Investigator (имеющие разрешение COLLECT_CLIENT) могут использовать его для обновления конфигураций клиентов, хотя не должны иметь такой возможности. Это позволяет перенаправлять клиентов на ваш собственный вредоносный сервер Velociraptor и получать контроль над конечными точками.

Полное описание в моём блоге: https://blog.mauzy.net/technology/rapid7-velociraptor-exploit-poc/

Вспомогательный скрипт Proof of Concept

Этот скрипт предназначен для помощи в эксплуатации данной CVE. Он делает это следующим образом:

Устанавливает указанную версию velociraptor
Настраивает локальный сервер velociraptor
Добавляет учётную запись администратора с учётными данными 'admin':'admin'
Выводит конфигурацию клиента с сертификатом CA, nonce и соответствующим IP-адресом

Выходная конфигурация клиента представлена в формате YAML и предназначена для вставки в уязвимый артефакт Admin.Client.UpdateClientConfig с использованием пользователя с меньшими привилегиями.

После запуска скрипта вредоносный сервер атакующего ожидает подключения клиентов. Как только будет выполнен UpdateClientConfig, клиенты сменят ключи и подключатся к вашему серверу вместо легитимного.

Как использовать:

chmod +x 2025-6264_setup.sh

sudo ./2025-6264_setup.sh

Если velociraptor уже установлен в вашей системе, вы можете сгенерировать конфигурационный файл:

./2025-6264_setup.sh --client-only

Чтобы удалить Velociraptor:

sudo apt autoremove velociraptor-server

velociraptor_CVE-2025-6264_PoC

Популярное