CVE-2026-74035

Wazuh w wersjach od 4.1.1 przed 4.14.8 zawiera lukę path traversal w helperze get_list_file, która pozwala złośliwym workerom klastra odczytywać dowolne pliki poprzez niezwalidowane wartości nazw plików. Atakujący posiadający klucz klastra może wysyłać żądania DistributedAPI z nazwami plików zawierającymi traversal, aby odczytać client.keys, ossec.conf z kluczem klastra oraz inne pliki czytelne dla Wazuh.

Wazuh w wersjach od 4.0.0 do 4.14.8 zawiera wyścig w ograniczaniu prób logowania, który pozwala nieuwierzytelnionym atakującym ominąć limit max_login_attempts poprzez wysyłanie równoczesnych żądań. Atakujący mogą wysyłać serie logowań do endpointów authenticate i run_as, które przechodzą kontrolę blokady przed zliczeniem nieudanych prób, umożliwiając nieograniczone zgadywanie haseł.

Wazuh w wersjach od 4.0.0 do 4.14.8 zawiera podatność ujawniania informacji, która pozwala użytkownikom z niskimi uprawnieniami (agent:read) na odzyskanie hasła rejestracji authd.pass w postaci jawnego tekstu poprzez niezasłonięty endpoint konfiguracji agenta. Atakujący posiadający domyślną rolę readonly mogą zażądać konfiguracji komponentu auth dla pseudo-agenta ID 000, aby uzyskać sekret i zarejestrować fałszywych agentów przeciwko menedżerowi.

Wazuh w wersjach od 3.12.0 do 4.14.8 zawiera przepełnienie bufora na stercie w funkcji fim_generate_alert(), gdzie rozmiar full_log jest ustalany na podstawie danych wejściowych, ale zapis ograniczony jest przez OS_MAXSTR. Zarejestrowany agent może wysłać spreparowane zdarzenie FIM syscheck, aby uszkodzić pamięć sterty menedżera i w sposób deterministyczny zawiesić wazuh-analysisd, powodując awarię wykrywania w całej flocie.

Wazuh w wersjach od 4.0.0 do 4.14.8 nie unieważnia wydanych tokenów dla użytkowników run_as z zerową liczbą ról statycznych, ponieważ funkcja check_token nigdy nie sprawdza czarnej listy. Atakujący z odebranymi uprawnieniami administratora mogą nadal się uwierzytelniać i samodzielnie przypisać sobie rolę administratora, aby trwale zachować uprzywilejowany dostęp.

Wazuh w wersjach od 4.3.0 do 4.14.8 zawiera podatność umożliwiającą zdalne wykonanie kodu, gdzie zaufanie do polityki SCA jest ustalane na podstawie ścieżki pliku, a nie źródła konfiguracji. Atakujący kontrolujący menedżera może zapisać niepodpisane pliki polityk do var/incoming poprzez kanał aktualizacji i odwołać się do nich, aby wykonać sprawdzenia poleceń jako root na agentach.

Wazuh w wersjach od 4.1.0 do 4.14.8 zawiera brak sprawdzania pochodzenia w wm_agent_upgrade, co pozwala zarejestrowanym agentom na wydawanie poleceń upgrade_custom z kontrolowaną przez atakującego ścieżką file_path. Atakujący mogą wstrzyknąć wiadomość upgrade_custom przez kanał agenta, aby odczytać dowolne pliki jako root, eksfiltrując /etc/shadow i client.keys.

Wazuh w wersjach od 4.1.1 do 4.14.8 zawiera podatność typu path traversal w handlerach list CDB get_lists() i delete_list_file(), która pozwala skompromitowanym pracownikom klastra na odczyt lub usunięcie plików mastera. Atakujący mogą wysyłać nazwy plików z sekwencjami traversal lub ścieżkami bezwzględnymi przez wewnętrzne RPC klastra, omijając walidację REST i RBAC, aby usunąć pliki takie jak rbac.db.

Wazuh w wersjach od 4.0.0 do 4.14.8 zawiera podatność obejścia autoryzacji, która pozwala niskouprzywilejowanym uwierzytelnionym użytkownikom na odczyt katalogu RBAC poprzez zapytania do niechronionych endpointów bezpieczeństwa. Atakujący mogą wysłać żądania GET /security/actions i /security/resources, które pomijają polityki RBAC wywołującego, aby zmapować uprzywilejowane akcje i endpointy w celu planowania eskalacji uprawnień.

Wazuh w wersjach od 4.1.1 do 4.14.8 zawiera podatność typu path traversal w pomocnikach delete_rule_file i delete_decoder_file, która pozwala złośliwym pracownikom klastra na usuwanie dowolnych plików poprzez niezweryfikowany parametr nazwy pliku. Atakujący posiadający klucz klastra mogą wywołać te pomocniki przez DistributedAPI z sekwencjami traversal, aby usunąć ossec.conf, client.keys lub reguły jako użytkownik wazuh.