CVE-2023-0242

Rapid7 Velociraptor, sunucuda farklı yetkilere sahip kullanıcıların oluşturulmasına izin verir. Yöneticilerin genellikle rastgele dosyalar yazmak da dahil olmak üzere sunucuda herhangi bir komutu çalıştırmasına izin verilir. Ancak, düşük yetkili kullanıcıların genellikle sunucudaki dosyaları yazmaları veya değiştirmeleri yasaktır. VQL copy() fonksiyonu, dosyaları okumak için izin kontrollerini uygular ancak dosya yazma iznini kontrol etmez. Bu durum, düşük yetkili bir kullanıcının (genellikle Velociraptor "investigator" rolüne sahip kullanıcılar), Velociraptor yapılandırma dosyaları da dahil olmak üzere sunucudaki dosyaların üzerine yazmasına olanak tanır. Bu güvenlik açığından yararlanmak için saldırganın halihazırda düşük yetki seviyesinde (en az "analyst") bir Velociraptor kullanıcı hesabına sahip olması, GUI'ye giriş yapabilmesi ve copy() VQL fonksiyonunu çağıran VQL sorgusunu çalıştırabileceği bir notebook oluşturabilmesi gerekir. Tipik olarak çoğu kullanıcı, Velociraptor'ü güvenilen bir grup için sınırlı erişimle dağıtmaktadır (çoğu kullanıcı GUI içinde yönetici olacaktır). Bu güvenlik açığı, https://github.Com/Velocidex/velociraptor/blob/master/vql/filesystem/copy.go https://github.Com/Velocidex/velociraptor/blob/master/vql/filesystem/copy.go program dosyaları ve copy() program rutinleri ile ilişkilidir. Bu sorun, 0.6.7-5 öncesindeki Velociraptor sürümlerini etkilemektedir. 16 Ocak 2023 tarihinde yayınlanan 0.6.7-5 sürümü bu sorunu gidermektedir.