CVE-2025-24016: Exécution de code à distance dans le serveur Wazuh | Kitploit

CVE-2025-24016

CritiquePublié

Exécution de code à distance dans le serveur Wazuh

Publié: 10 févr. 2025
Mise à jour: 26 févr. 2026
Attribution de CNA: GitHub_M
Preuve observée: 10 juin 2025

CVSS primaire

9,9/ 10Critique

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H

Estimation de probabilité EPSS

93,8 %

Élevé · 30 prochains jours

Percentile: 99,8 %
Date du modèle: 21 sept. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

CISA Connu Exploité

Ce CVE apparaît dans le catalogue des vulnérabilités exploitées connues de CISA.

Résumé

Wazuh est une plateforme gratuite et open source utilisée pour la prévention, la détection et la réponse aux menaces. À partir de la version 4.4.0 et avant la version 4.9.1, une vulnérabilité de désérialisation non sécurisée permet l'exécution de code à distance sur les serveurs Wazuh. Les paramètres DistributedAPI sont sérialisés en JSON et désérialisés à l'aide de `as_wazuh_object` (dans `framework/wazuh/core/cluster/common.py`). Si un attaquant parvient à injecter un dictionnaire non assaini dans la requête/réponse DAPI, il peut forger une exception non gérée (`__unhandled_exc__`) pour évaluer du code Python arbitraire. La vulnérabilité peut être déclenchée par toute personne ayant un accès à l'API (tableau de bord compromis ou serveurs Wazuh du cluster) ou, dans certaines configurations, même par un agent compromis. La version 4.9.1 contient un correctif.

Sources

CVE-2025-24016Exploit
Exploit CLI autonome pour la vulnérabilité de désérialisation non sécurisée de Wazuh, permettant l'exécution de code à distance en injectant des dictionnaires DAPI conçus pour obtenir un shell inversé.
CVE-2025-24016PoC
CVE-2025-24016: RCE dans le serveur Wazuh! Exécution de code à distance

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.