🚨 CVE-2026-25769 - Wazuh Unsichere Deserialisierung RCE

Kritische Worker ➜ Master Remote-Codeausführung im Wazuh-Clustermodus

Unsichere Deserialisierung in der Wazuh-Cluster-Kommunikation ermöglicht einem kompromittierten Worker-Knoten, eine Root-RCE auf dem Master-Knoten zu erreichen.

📌 Überblick

CVE-ID: CVE-2026-25769 Produkt: Wazuh Betroffene Versionen: 4.0.0 → 4.14.2 Behobene Version: 4.14.3 Schweregrad: Kritisch CVSS v3.1: 9.1 CWE: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten

Eine kritische Schwachstelle im Wazuh-Clustermodus ermöglicht einem Angreifer mit Zugriff auf einen Worker-Knoten, bösartige serialisierte Payloads zu senden, die vom Master-Knoten verarbeitet werden, was zu Remote-Codeausführung mit Root-Rechten führt. (nvd.nist.gov)

🧠 Technische Zusammenfassung

Die Schwachstelle besteht im Master/Worker-Synchronisierungsworkflow.

Wenn ein Worker-Knoten Cluster-Daten mit dem Master austauscht, können nicht vertrauenswürdige serialisierte Objekte ohne ausreichende Validierung deserialisiert werden.

Dies ermöglicht einem Bedrohungsakteur, der bereits einen Worker kontrolliert:

• bösartige serialisierte Payloads einzuschleusen
• die Rekonstruktion beliebiger Python-Objekte auszulösen
• vom Angreifer kontrollierten Code auszuführen
• in den Master-Manager vorzudringen
• Ausführung mit Root-Rechten zu erlangen

🔥 Angriffspfad

Initial Access → Worker Node Compromise
                ↓
Malicious Cluster Sync Payload
                ↓
Unsafe Deserialization on Master
                ↓
Root Remote Code Execution
                ↓
Full SOC / SIEM Infrastructure Compromise

📷 Screenshot

🎯 Betroffener Umfang

Diese CVE betrifft Umgebungen, in denen:

• ✅ Wazuh im Clustermodus läuft
• ✅ die Version zwischen 4.0.0 und 4.14.2 liegt
• ✅ mindestens ein Worker-Knoten kompromittiert ist
• ✅ die Worker ↔ Master-Kommunikation erlaubt ist

⚠️ Ziele mit hohem Risiko

Da der Master-Knoten zentralisiert:

• Erkennungsregeln
• Agentenschlüssel
• Integrationen
• aktive Antworten
• Cloud-Connectors
• Threat-Intelligence-Feeds
• SOC-Dashboards

Ein erfolgreicher Exploit kann zu einer vollständigen SIEM-Übernahme führen. (nvd.nist.gov)

🛡️ Gegenmaßnahmen

✅ Dauerhafte Lösung

Sofort aktualisieren:

Wazuh >= 4.14.3

Der Hersteller bestätigt, dass 4.14.3 die Schwachstelle behebt. (nvd.nist.gov)

🚑 Temporäre Härtung

Bis das Patch abgeschlossen ist:

# Restrict cluster traffic
Allow only trusted worker IPs
Disable unused workers
Rotate cluster authentication secrets
Limit east-west lateral movement
Monitor cluster sync anomalies

Zusätzliche Empfehlungen:

• Worker-Knoten in separate VLANs isolieren
• SSH-Zugriff einschränken
• API-Schlüssel rotieren
• benutzerdefinierte Integrationen verifizieren
• /var/ossec/logs/ auditieren
• root-eigene Dateiänderungen überprüfen

🔍 Erkennung & Threat Hunting

📁 Log-Artefakte

Fokus auf:

/var/ossec/logs/ossec.log
/var/ossec/queue/cluster/
/var/ossec/framework/python/

🧪 Hunting-Indikatoren

- unusual worker sync bursts
- malformed serialized payload errors
- unexpected Python child processes
- shell execution from wazuh-manager
- new root-owned temp files
- worker-originated privilege escalation chain

🧩 Sigma-ähnliche Erkennungslogik

title: Wazuh Cluster Unsafe Deserialization Attempt
id: CVE-2026-25769
status: experimental
logsource:
  product: linux
  service: wazuh-manager

detection:
  selection:
    process.parent.name: wazuh-manager
    process.name:
      - python3
      - sh
      - bash
  condition: selection

level: critical

📊 CVSS-Vektor

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

📖 Bedeutung

• AV:N → über das Netzwerk ausnutzbar
• AC:L → geringe Komplexität
• PR:H → erfordert zuerst einen kompromittierten Worker
• S:C → Scope-Änderung: Worker ➜ Master
• CIA:H → vollständige Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit

🧱 Management-Risikoerklärung

Ein einziger kompromittierter Worker kann als Sprungbrett zur vollständigen Kompromittierung des Wazuh-Masters dienen und einem Angreifer effektiv die Kontrolle über den zentralisierten Erkennungs- und Reaktions-Stack des Unternehmens geben.

Dies ist besonders gefährlich für:

• MSSPs
• Unternehmens-SOCs
• mandantenfähige Wazuh-Cluster
• Cloud-SIEM-Bereitstellungen
• regulierte Umgebungen

📚 Referenzen

• NVD-Advisory — CVE-2026-25769 (nvd.nist.gov)
• Wazuh-Herstelleradvisory (GHSA) (github.com)
• Wazuh-Releases / Gepatchte Version (github.com)