Mobile-Menu

Header-Manipulation Privilege Escalation durch Identity Spoofing in Velociraptor

Von Melanie Staudacher 1 min Lesedauer

Anbieter zum Thema

cidaas by Widas ID GmbH
SEPPmail - Deutschland GmbH
Onapsis Europe GmbH

Eine kritische Schwachstelle in Velociraptor ermöglicht es authentifizierten Angreifern, die Identität anderer Benutzer zu spoofen und zu Ad­mi­ni­stra­tor­rech­ten zu eskalieren. Admins sollten zeitnah patchen.

Ein Nutzer mit „reader“-Rechten kann mit einem manipulierten „Grpc-Metadata-USER“-Header in Velociraptor als Administrator agieren.(Bild: Andrea Danti - stock.adobe.com)
Ein Nutzer mit „reader“-Rechten kann mit einem manipulierten „Grpc-Metadata-USER“-Header in Velociraptor als Administrator agieren.
(Bild: Andrea Danti - stock.adobe.com)

Rapid7 hat eine kritische Privilege-Escalation-Schwachstelle EUVD-2026-56127 / CVE-2026-18972 (CVSS-Score 9.6, EPSS-Score* 0.33) in der eigenen Open-Source-Software Velociraptor bekannt gemacht. Die Sicherheitslücke ermöglicht es authentifizierten Angreifern mit nied­ri­gen Privilegien, die Identität anderer GUI-Benutzer zu spoofen und damit zu Administrator­rech­ten zu eskalieren. Betroffen sind alle Versionen bis 0.77.1.

Identity Spoofing über Custom Header

Velociraptor ist ein DFIR-Tool zur digitalen Forensik und Incident Response. Die darin ent­hal­te­ne Schwachstelle sitzt in der GUI-Authentifizierung. Ein authentifizierter Angreifer kann eine speziell präparierte Anfrage mit dem Custom Header „Grpc-Metadata-USER“ senden. Dieser Header ermöglicht es ihm, die Identität eines anderen GUI-Benutzers vorzutäuschen und sich als dieser auszugeben.

Ein Angreifer kann EUVD-2026-56127 / CVE-2026-18972 ausnutzen, um sich als Administrator auszugeben und damit auf administrative Funktionen zuzugreifen. Dies kann zu einer vollständigen Privilege Escalation führen und es dem Angreifer ermöglichen, die gesamte Velociraptor-Instanz zu übernehmen. Voraussetzung für eine erfolgreiche Ausnutzung ist dem Security Advisory nach, dass der Akteur zumindest „reader“-Rechte erlangen konnte. Das BSI warnt sogar davor, dass auch Cross-Site-Scripting-Angriffe sowie ein Denial-of-Service Zustand möglich sind.

Mit der Velociraptor-Version 0.77.2 hat Rapid7 die Sicherheitslücke geschlossen. Wenn der Patch nicht sofort aufgespielt werden kann, können Administratoren als temporäre Maßnahme den „Grpc-Metadata-USER“-Header durch einen Proxy vor dem Velociraptor GUI-Server blockieren.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50932604)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte