CVE-2025-24016
Exécution de code à distance dans le serveur Wazuh
- Publié
- 10 févr. 2025
- Mise à jour
- 26 févr. 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 10 juin 2025
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:HÉlevé · 30 prochains jours
- Percentile
- 99,8 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
CISA Connu Exploité
Ce CVE apparaît dans le catalogue des vulnérabilités exploitées connues de CISA.
Résumé
Wazuh est une plateforme gratuite et open source utilisée pour la prévention, la détection et la réponse aux menaces. À partir de la version 4.4.0 et avant la version 4.9.1, une vulnérabilité de désérialisation non sécurisée permet l'exécution de code à distance sur les serveurs Wazuh. Les paramètres DistributedAPI sont sérialisés en JSON et désérialisés à l'aide de `as_wazuh_object` (dans `framework/wazuh/core/cluster/common.py`). Si un attaquant parvient à injecter un dictionnaire non assaini dans la requête/réponse DAPI, il peut forger une exception non gérée (`__unhandled_exc__`) pour évaluer du code Python arbitraire. La vulnérabilité peut être déclenchée par toute personne ayant un accès à l'API (tableau de bord compromis ou serveurs Wazuh du cluster) ou, dans certaines configurations, même par un agent compromis. La version 4.9.1 contient un correctif.
Sources
modules/exploits/linux/http/wazuh_auth_rce_cve_2025_24016.rb
Metasploit Framework modulesConditions déclarées
- platform: Linux,Unix($.exploit_linux/http/wazuh_auth_rce_cve_2025_24016.platform)
- verification: check_declared($.exploit_linux/http/wazuh_auth_rce_cve_2025_24016.check)
http/cves/2025/CVE-2025-24016.yaml
Nuclei TemplatesConditions déclarées
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- CVE-2025-24016Exploit
Exploit CLI autonome pour la vulnérabilité de désérialisation non sécurisée de Wazuh, permettant l'exécution de code à distance en injectant des dictionnaires DAPI conçus pour obtenir un shell inversé.
CVE-2025-24016: RCE dans le serveur Wazuh! Exécution de code à distance
- CVE-2025-24016-Nuclei-TemplateDétection
Modèle Nuclei pour détecter la désérialisation non sécurisée RCE CVE-2025-24016 dans les serveurs Wazuh via une charge utile JSON conçue qui déclenche une NameError.
CVE-2025-24016 : RCE dans le serveur Wazuh ! Exécution de code à distance
- CVE-2025-24016Détection
Détection pour CVE-2025-24016 - Vulnérabilité de désérialisation de données non fiables dans le logiciel Wazuh
Exploit de preuve de concept pour CVE-2025-24016, montrant une vulnérabilité spécifique avec un script d'exploitation ciblé pour les tests et la validation de sécurité.
Une vulnérabilité critique de type RCE a été identifiée dans le serveur Wazuh en raison d'une désérialisation non sécurisée dans le package wazuh-manager. Ce bogue affecte les versions de Wazuh ≥ 4.4.0 et a été corrigé dans la version 4.9.1.
- Wazuh-RCEExploit
Exploit d'exécution de code à distance pour Wazuh 8.4 (CVE-2025-24016) avec preuve de concept basée sur Python ciblant les déploiements SIEM vulnérables.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.