CVE-2026-83598: повышение привилегий в Netdata Agent для Windows через PowerShell-профиль

В Windows-агенте Netdata — открытого инструмента наблюдаемости — выявлена уязвимость повышения локальных привилегий (Local Privilege Escalation). Она позволяет низкопривилегированному пользователю выполнить произвольный код с правами SYSTEM.

Подробности

Уязвимость затрагивает Netdata Agent для Windows в версиях с 2.0.0 по 2.10.3 включительно. Проблема проявляется в ходе операции восстановления (repair) MSI-пакета. В этом сценарии powershell.exe запускается от имени SYSTEM, но без флага -NoProfile. Из-за этого PowerShell загружает профиль %USERPROFILE%\Documents\WindowsPowerShell\Microsoft.PowerShell_profile.ps1, принадлежащий тому низкопривилегированному пользователю, который инициировал восстановление. Если злоумышленник заранее разместит в этом профиле произвольные команды, они будут выполнены с привилегиями SYSTEM в момент MSI repair. Таким образом, локальный пользователь без административных прав может повысить свои привилегии до уровня системной учётной записи и получить полный контроль над узлом. Уязвимости присвоена оценка CVSS 7.8 (HIGH). Вектор требует локального доступа и наличия у пользователя возможности инициировать операцию восстановления MSI, однако не требует прав администратора, что делает её опасной в сценариях, где на хосте работают несколько пользователей или где атакующий уже имеет ограниченный доступ. Проблема устранена в версии 2.10.4.

Что делать

Основная рекомендация — обновить Netdata Agent для Windows до версии 2.10.4 или более поздней. Это единственный надёжный способ закрыть уязвимость, поскольку исправление касается логики запуска PowerShell в процессе MSI repair. Если обновление невозможно в кратчайшие сроки, следует рассмотреть временные меры: — ограничить круг пользователей, имеющих право инициировать установку, восстановление или изменение MSI-пакетов на хостах с Netdata Agent; — контролировать содержимое каталогов профилей PowerShell (%USERPROFILE%\Documents\WindowsPowerShell\) и отслеживать появление в них подозрительных файлов Microsoft.PowerShell_profile.ps1; — применять принцип наименьших привилегий и не предоставлять пользователям лишних прав на изменение системных конфигураций. Также рекомендуется проверить журналы выполнения MSI repair и события запуска powershell.exe от имени SYSTEM на предмет аномальной активности, которая могла бы указывать на попытки эксплуатации.

Итог

CVE-2026-83598 — классический пример уязвимости, возникающей из-за небезопасного вызова интерпретатора с высокими привилегиями. Запуск PowerShell от имени SYSTEM без -NoProfile позволил подмешивать пользовательский профиль в привилегированный контекст. Администраторам, использующим Netdata Agent для Windows, следует приоритизировать обновление до 2.10.4 и проверить хосты, где могли выполняться операции восстановления MSI.

Источник: CVE Project (cvelistV5)