CVE-2026-25770

Resumen

Wazuh es una plataforma de código abierto y gratuita utilizada para la prevención, detección y respuesta ante amenazas. A partir de la versión 3.9.0 y antes de la versión 4.14.3, existe una vulnerabilidad de escalada de privilegios en el protocolo de sincronización de clúster del Wazuh Manager. El servicio 'wazuh-clusterd' permite a los nodos autenticados escribir archivos arbitrarios en el sistema de archivos del gestor con los permisos del usuario del sistema 'wazuh'. Debido a permisos predeterminados inseguros, el usuario 'wazuh' tiene acceso de escritura al archivo de configuración principal del gestor ('/var/ossec/etc/ossec.conf'). Aprovechando el protocolo del clúster para sobrescribir 'ossec.conf', un atacante puede inyectar un bloque de comando malicioso ''. El servicio 'wazuh-logcollector', que se ejecuta como root, analiza esta configuración y ejecuta el comando inyectado. Esta cadena permite a un atacante con credenciales de clúster obtener la ejecución remota de código completa como Root, violando el principio de mínimo privilegio y eludiendo el modelo de seguridad previsto. La versión 4.14.3 corrige el problema.

• CVE-2026-25769---CVE-2026-25770PoC

  Pruebas de concepto de exploits para las vulnerabilidades del clúster de Wazuh CVE-2026-25769 y CVE-2026-25770, que demuestran ejecución remota de código y escalada de privilegios mediante deserialización insegura y sobrescritura de archivos.