Kurzfassung

In Velociraptor steckt mit CVE-2026-19072 eine kritische Schwachstelle, die eine Rechteausweitung bis auf Administratorniveau ermöglicht. Der CVSS-Basiswert liegt bei 9.9 und damit im kritischen Bereich. Angreifbar ist die Anwendung über das Netzwerk, wenn ein angemeldeter Nutzer mit niedrigen Rechten Hunts anlegen darf.

Was ist passiert?

Der Fehler betrifft die interne Verarbeitung von Hunt-Objekten in Velociraptor. Eigentlich speichert die Software vorkompilierte VQL-Anweisungen intern, damit Artefakte nicht für jeden Endpunkt erneut kompiliert werden müssen.

Problematisch ist, dass das interne Feld compiled_collector_args über eine Benutzer-API gesetzt werden konnte. Dadurch kann ein Nutzer mit der minimalen Rolle eines Investigators beim Planen einer Hunt eigene vorkompilierte VQL-Anweisungen einschleusen und dabei reguläre Zugriffsprüfungen umgehen.

Im Ergebnis lässt sich die Berechtigungsstufe ausweiten: Ein solcher Nutzer kann beliebige VQL-Anweisungen auf dem Velociraptor-Server mit Administratorrechten ausführen.

Technische Details

CVE-2026-19072 hat einen CVSS-Wert von 9.9 nach CVSS 3.1 und den Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Das bedeutet: Der Angriff ist über das Netzwerk möglich, die Angriffskomplexität ist gering, es reichen niedrige Berechtigungen, und eine Nutzerinteraktion ist nicht erforderlich. Der Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch eine bereits beobachtete Ausnutzung in freier Wildbahn.

Der Kern des Problems ist eine unzureichende Trennung zwischen internen Feldern und über die API setzbaren Parametern. Wenn ein Nutzer beim Erstellen oder Planen einer Hunt manipulierte kompilierte VQL-Daten übergeben kann, greifen offenbar die normalen ACL-Prüfungen nicht mehr wie vorgesehen. Daraus entsteht eine klassische Privilegieneskalation innerhalb eines sicherheitskritischen Verwaltungswerkzeugs.

Für DFIR- und Security-Teams ist das besonders heikel, weil Velociraptor regelmäßig mit weitreichenden Rechten arbeitet und Zugriff auf zahlreiche Endpunkte, Artefakte und Untersuchungsdaten haben kann.

Wer ist betroffen?

Betroffen sind Velociraptor-Installationen, in denen Nutzer mit niedrigen Rechten Hunts planen oder anlegen dürfen. Konkret nennt die Beschreibung als Mindestrolle einen Investigator. Welche exakten Versionen verwundbar sind, ist derzeit nicht benannt.

Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn Velociraptor zentral im Incident Response, Threat Hunting oder in der Forensik eingesetzt wird und mehrere Analysten mit abgestuften Rollen darauf zugreifen. Einzelplatz- oder Testumgebungen ohne Mehrbenutzerbetrieb sind deutlich weniger exponiert, aber nicht automatisch unkritisch.

Empfohlene Maßnahmen

Prüfen Sie zuerst, ob in Ihrer Umgebung Velociraptor produktiv eingesetzt wird und ob Benutzer mit niedrigen Rechten Hunts anlegen dürfen. Diese Berechtigung sollte bis zur Klärung möglichst restriktiv vergeben werden.

Kontrollieren Sie Rollen, Rechte und vorhandene API-Zugriffe. Wenn Investigator- oder ähnliche Konten nicht zwingend Hunts planen müssen, entziehen Sie diese Funktion vorübergehend oder verlagern Sie sie auf wenige vertrauenswürdige Administratorkonten.

Untersuchen Sie bestehende Hunt-Definitionen und Audit-Logs auf Auffälligkeiten. Relevant sind insbesondere ungewöhnliche oder nicht dokumentierte Hunts, Änderungen an Hunt-Objekten sowie Aktivitäten, die auf die Ausführung unerwarteter VQL-Anweisungen hindeuten.

Segmentieren Sie den Zugriff auf den Velociraptor-Server zusätzlich über das Netzwerk und begrenzen Sie den administrativen Zugang. Wo möglich, sollten nur dedizierte Verwaltungsarbeitsplätze und bekannte Admin-Netze auf die Verwaltungsoberfläche und API zugreifen dürfen.

Ob ein Patch bereitsteht, ist nicht mitgeteilt. Da kein Hersteller-Hinweis mit Patch-Informationen genannt ist, sollten Administratoren die Versions- und Release-Informationen des Herstellers eng verfolgen und ein Update nach Verfügbarkeit zügig einplanen.

Einschätzung von CyberSecurity-News.de

Die technische Tragweite ist hoch, weil hier kein entfernter anonymer Angreifer im Vordergrund steht, sondern die Eskalation eines bereits berechtigten Kontos in einem besonders sensiblen Security-Werkzeug. Genau solche Systeme werden in vielen Organisationen als vertrauenswürdige Kerninfrastruktur behandelt. Wenn dort Rollenmodelle aushebelbar sind, ist das ein ernstes Problem.

Die Informationslage bleibt allerdings unvollständig. NVD führt den CVE und den hohen CVSS-Wert, nennt aber keine belastbare Liste betroffener Versionen und keine Angaben zu einem Update-Stand. Für Betreiber ist das unbefriedigend, weil sich Priorisierung und Eingrenzung dadurch erschweren.

Für die meisten Unternehmen ist die Lücke nur dann akut relevant, wenn Velociraptor tatsächlich im Einsatz ist. Wer die Plattform nicht nutzt, kann das Thema ignorieren. Wer sie produktiv betreibt, sollte die Schwachstelle dagegen sehr ernst nehmen, weil schon ein Konto mit niedrigen Rechten für die weitere Eskalation ausreichen kann.

Fazit

Wenn Sie Velociraptor betreiben, behandeln Sie CVE-2026-19072 als dringendes Berechtigungs- und Härtungsthema. Beschränken Sie Hunt-Rechte sofort, prüfen Sie Logs und spielen Sie verfügbare Korrekturen ein, sobald der Hersteller belastbare Versions- oder Patch-Informationen veröffentlicht.

Quellenangabe

Weiterführende technische Informationen finden Sie beim NVD-Eintrag zu CVE-2026-19072.