CVE-2026-25770

ملخص

Wazuh هي منصة مجانية ومفتوحة المصدر تُستخدم للوقاية من التهديدات واكتشافها والاستجابة لها. ابتداءً من الإصدار 3.9.0 وحتى ما قبل الإصدار 4.14.3، توجد ثغرة تصعيد صلاحيات في بروتوكول مزامنة الكتلة (Cluster) في مدير Wazuh. تتيح خدمة `wazuh-clusterd` للعقد المُصادَق عليها كتابة ملفات عشوائية على نظام ملفات المدير بصلاحيات مستخدم النظام `wazuh`. بسبب الصلاحيات الافتراضية غير الآمنة، يمتلك مستخدم `wazuh` صلاحية الكتابة على ملف الإعداد الرئيسي للمدير (`/var/ossec/etc/ossec.conf`). من خلال استغلال بروتوكول الكتلة لاستبدال `ossec.conf`، يمكن للمهاجم حقن كتلة أوامر ضارة `<localfile>`. تقوم خدمة `wazuh-logcollector`، التي تعمل بصلاحيات الجذر (root)، بتحليل هذا الإعداد وتنفيذ الأمر المُحقَن. تسمح هذه السلسلة للمهاجم الذي يمتلك بيانات اعتماد الكتلة بالحصول على تنفيذ كامل للأوامر عن بُعد بصلاحيات الجذر (Root Remote Code Execution)، مما ينتهك مبدأ الامتيازات الأقل ويتجاوز نموذج الأمان المقصود. يعمل الإصدار 4.14.3 على إصلاح هذه المشكلة.

• CVE-2026-25769---CVE-2026-25770PoC

  إثباتات مفهوم لاستغلال ثغرات مجموعة Wazuh CVE-2026-25769 وCVE-2026-25770، توضح تنفيذ التعليمات البرمجية عن بُعد ورفع الامتيازات عبر إلغاء التسلسل غير الآمن واستبدال الملفات.