CVE-2026-44255
ŚrednieCVSS 5.3Streszczenie
Wazuh to darmowa platforma open source używana do zapobiegania, wykrywania i reagowania na zagrożenia. Od wersji 4.0.0 do 4.14.6 oraz 5.0.0-beta2, AuthenticationManager.check_user() w framework/wazuh/rbac/orm.py wykonuje check_password_hash() tylko wtedy, gdy podana nazwa użytkownika istnieje. Nieistniejąca nazwa użytkownika zwraca natychmiast, podczas gdy prawidłowa nazwa powoduje kosztowne obliczenie bcrypt. Nieuwierzytelniony zdalny atakujący może porównać czasy odpowiedzi uwierzytelniania, aby wyliczyć prawidłowe nazwy użytkowników Wazuh i wykorzystać te informacje w późniejszych atakach na poświadczenia. Problem naprawiono w wersjach 4.14.6 i 5.0.0-beta2.
Ocena ryzyka
Atakujący może enumerować prawidłowe nazwy użytkowników, co ułatwia ataki brute-force lub phishing na konta, zwiększając ryzyko nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj Wazuh do wersji 4.14.6 lub 5.0.0-beta2 (lub nowszej), aby naprawić podatność.
Oryginalny opis (angielski, źródło NVD)
Wazuh is a free and open source platform used for threat prevention, detection, and response. From 4.0.0 until 4.14.6 and 5.0.0-beta2, AuthenticationManager.check_user() in framework/wazuh/rbac/orm.py performs check_password_hash() only when the supplied username exists. A nonexistent username returns immediately, while a valid username causes an expensive bcrypt calculation. An unauthenticated remote attacker can compare authentication response times to enumerate valid Wazuh usernames and use that information in subsequent credential attacks. This issue is fixed in versions 4.14.6 and 5.0.0-beta2.