CVE-2026-25770

Riepilogo

Wazuh è una piattaforma gratuita e open source utilizzata per la prevenzione, il rilevamento e la risposta alle minacce. A partire dalla versione 3.9.0 e precedenti alla versione 4.14.3, esiste una vulnerabilità di escalation dei privilegi nel protocollo di sincronizzazione del cluster del Wazuh Manager. Il servizio `wazuh-clusterd` consente ai nodi autenticati di scrivere file arbitrari nel file system del manager con i permessi dell'utente di sistema `wazuh`. A causa di permessi predefiniti non sicuri, l'utente `wazuh` ha accesso in scrittura al file di configurazione principale del manager (`/var/ossec/etc/ossec.conf`. Sfruttando il protocollo del cluster per sovrascrivere `ossec.conf`, un attaccante può iniettare un blocco di comando `<localfile>` dannoso. Il servizio `wazuh-logcollector`, che viene eseguito come root, analizza questa configurazione ed esegue il comando iniettato. Questa catena consente a un attaccante con credenziali del cluster di ottenere la piena esecuzione remota di codice come root, violando il principio del minimo privilegio e aggirando il modello di sicurezza previsto. La versione 4.14.3 risolve il problema.

• CVE-2026-25769---CVE-2026-25770PoC

  Proof-of-concept exploit per le vulnerabilità del cluster Wazuh CVE-2026-25769 e CVE-2026-25770, che dimostrano l'esecuzione remota di codice e l'escalation dei privilegi tramite deserializzazione non sicura e sovrascrittura di file.