CVE-2026-78413— Velociraptor SysmonLogForward客户端监控工件提权漏洞
一分钟漏洞结论
影响对象
Rapid7 Velociraptor
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Velociraptor 支持从端点收集打包在“Artifacts”（制品）中的 VQL 查询。这些制品功能强大，通常以高权限运行，能够执行各种操作。为了限制对某些危险制品的访问，Velociraptor 允许对部分制品设置高权限要求，例如必须拥有 EXECVE 权限才能触发执行。 是一个用于将 Sysmon 事件转发至服务器的监控型制品。该制品允许用户指定任意二进制文件路径作为参数，但未强制要求额外的权限验证。因此，拥有 COLLECT_CLIENT 权限的用户（通常由“Investigator”角色赋予）可以从
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-78413 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Velociraptor privilege escalation via SysmonLogForward client monitoring artifact
来源: CVE Program / CVE List V5
Vulnerability Description
Velociraptor allows collection of VQL queries packaged into Artifacts from endpoints. These artifacts can be used to do anything and usually run with elevated permissions. To limit access to some dangerous artifact, Velociraptor allows for those to require high permissions like EXECVE to launch.
The `Windows.Sysinternals.SysmonLogForward` is a monitoring artifact used to forward sysmon events to the server. The artifact allows the user to specify an arbitrary binary path as a parameter, and did not enforce an additional required permission, allowing users with COLLECT_CLIENT permissions (normally given by the "Investigator" role) to collect it from endpoints and run a different binary program than the installed sysmon binary.
To successfully exploit this vulnerability the user must already have access to collect artifacts from the endpoint (i.e. have the COLLECT_CLIENT given typically by the "Investigator" role).
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
缺省权限不正确
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Rapid7 | Velociraptor | 0 ~ 0.77.3 | - |
|
二、漏洞 CVE-2026-78413 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-78413 的情报信息
请登录查看更多情报信息。
CVE-2026-78413 其他参考 (2)
同批安全公告 · Rapid7 · 2026-10-05 · 共 3 条
| CVE-2026-78411 | 6.5 MEDIUM | Velociraptor 服务器元数据更新权限检查不足漏洞 |
| CVE-2026-78412 | 4.9 MEDIUM | WatchEvent API 泄露其他组织直播事件 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-78413
暂无评论