🚨 CVE-2026-25769 - ثغرة إلغاء التسلسل غير الآمن في Wazuh (RCE)

ثغرة حرجة: تنفيذ تعليمات برمجية عن بُعد من العامل (Worker) إلى الرئيسية (Master) في وضع كتلة Wazuh

يسمح إلغاء التسلسل غير الآمن في اتصالات كتلة Wazuh لعقدة عامل (Worker) مخترقة بتحقيق RCE بصلاحيات الجذر على العقدة الرئيسية (Master).

📌 نظرة عامة

معرف CVE: CVE-2026-25769 المنتج: Wazuh الإصدارات المتأثرة: 4.0.0 → 4.14.2 الإصدار المُصحَّح: 4.14.3 الخطورة: حرجة CVSS v3.1: 9.1 CWE: CWE-502 — إلغاء تسلسل البيانات غير الموثوقة

تسمح ثغرة حرجة في وضع كتلة Wazuh لمهاجم يمتلك حق الوصول إلى عقدة عامل بإرسال حمولات متسلسلة خبيثة تتم معالجتها بواسطة العقدة الرئيسية، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد بصلاحيات الجذر. (nvd.nist.gov)

🧠 الملخص التقني

تكمُن الثغرة في سير عمل مزامنة العقدة الرئيسية/العامل.

عندما تتبادل عقدة العامل بيانات الكتلة مع العقدة الرئيسية، قد يتم إلغاء تسلسل كائنات متسلسلة غير موثوقة دون تحقّقٍ كافٍ.

وهذا يتيح للمهاجم الذي يسيطر بالفعل على عقدة عامل أن:

• يحقن حمولات متسلسلة خبيثة
• يُحدث إعادة بناء كائنات Python عشوائية
• ينفّذ تعليمات برمجية يتحكم فيها المهاجم
• ينتقل (Pivot) إلى مدير العقدة الرئيسية
• يحصل على تنفيذ بصلاحيات الجذر

🔥 مسار الهجوم

Initial Access → Worker Node Compromise
                ↓
Malicious Cluster Sync Payload
                ↓
Unsafe Deserialization on Master
                ↓
Root Remote Code Execution
                ↓
Full SOC / SIEM Infrastructure Compromise

📷 لقطة شاشة

🎯 النطاق المتأثر

تؤثر هذه الثغرة (CVE) على البيئات التي تتوفر فيها الشروط التالية:

• ✅ يعمل Wazuh في وضع الكتلة
• ✅ يتراوح الإصدار بين 4.0.0 و4.14.2
• ✅ اختراق عقدة عامل واحدة على الأقل
• ✅ السماح بالاتصال بين العامل ↔ الرئيسية

⚠️ الأهداف عالية الخطورة

لأن العقدة الرئيسية تركّز ما يلي:

• قواعد الكشف
• مفاتيح الوكلاء (Agents)
• عمليات التكامل
• الاستجابات النشطة
• موصلات السحابة
• خلاصات استخبارات التهديدات
• لوحات تحكم SOC

قد يؤدي الاستغلال الناجح إلى السيطرة الكاملة على SIEM. (nvd.nist.gov)

🛡️ التخفيف

✅ الإصلاح الدائم

قم بالترقية فورًا:

Wazuh >= 4.14.3

يؤكد البائع أن الإصدار 4.14.3 يصحح الثغرة. (nvd.nist.gov)

🚑 تحصين مؤقت

حتى اكتمال التصحيح:

# Restrict cluster traffic
Allow only trusted worker IPs
Disable unused workers
Rotate cluster authentication secrets
Limit east-west lateral movement
Monitor cluster sync anomalies

توصيات إضافية:

• عزل عقد العامل في شبكات VLAN منفصلة
• تقييد الوصول عبر SSH
• تدوير مفاتيح API
• التحقق من عمليات التكامل المخصصة
• تدقيق /var/ossec/logs/
• مراجعة تغييرات الملفات المملوكة للجذر

🔍 الكشف وصيد التهديدات

📁 آثار السجلات

ركّز على:

/var/ossec/logs/ossec.log
/var/ossec/queue/cluster/
/var/ossec/framework/python/

🧪 مؤشرات الصيد

- unusual worker sync bursts
- malformed serialized payload errors
- unexpected Python child processes
- shell execution from wazuh-manager
- new root-owned temp files
- worker-originated privilege escalation chain

🧩 منطق كشف بأسلوب Sigma

title: Wazuh Cluster Unsafe Deserialization Attempt
id: CVE-2026-25769
status: experimental
logsource:
  product: linux
  service: wazuh-manager

detection:
  selection:
    process.parent.name: wazuh-manager
    process.name:
      - python3
      - sh
      - bash
  condition: selection

level: critical

📊 متجه CVSS

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

📖 المعنى

• AV:N → قابل للاستغلال عبر الشبكة
• AC:L → تعقيد منخفض
• PR:H → يتطلب اختراق عقدة عامل أولًا
• S:C → يتغير النطاق من العامل إلى الرئيسية
• CIA:H → تأثير كامل على السرية والنزاهة والتوافر

🧱 بيان المخاطر التنفيذي

يمكن لعقدة عامل واحدة مخترقة أن تصبح منصة انطلاق لاختراق Wazuh الرئيسية بالكامل، مما يمنح المهاجم فعليًا السيطرة على البنية المركزية للكشف والاستجابة في المؤسسة.

هذا يشكل خطرًا خاصًا على:

• مزودي خدمات الأمن المُدارة (MSSPs)
• مراكز عمليات الأمن (SOCs) للمؤسسات
• كتل Wazuh متعددة المستأجرين
• عمليات نشر SIEM السحابية
• البيئات الخاضعة للتنظيم

📚 المراجع

• نشرة NVD — CVE-2026-25769 (nvd.nist.gov)
• نشرة البائع Wazuh (GHSA) (github.com)
• إصدارات Wazuh / الإصدار المُصحَّح (github.com)