🚨 CVE-2026-25769 - Wazuh 安全でないデシリアライゼーション RCE

Wazuhクラスターモードにおける重大な Worker ➜ Master リモートコード実行

Wazuhクラスター通信における安全でないデシリアライゼーションにより、侵害されたワーカーノードがマスターノード上でroot権限のRCEを達成できる可能性があります。

📌 概要

CVE ID: CVE-2026-25769 製品: Wazuh 影響を受けるバージョン: 4.0.0 → 4.14.2 修正バージョン: 4.14.3 深刻度: Critical CVSS v3.1: 9.1 CWE: CWE-502 — Deserialization of Untrusted Data

Wazuhクラスターモードの重大な脆弱性により、ワーカーノードにアクセスできる攻撃者が悪意のあるシリアライズ済みペイロードを送信し、それがマスターノードによって処理されることで、root権限によるリモートコード実行が引き起こされます。(nvd.nist.gov)

🧠 技術概要

この脆弱性はマスター/ワーカー同期ワークフローに存在します。

ワーカーノードがマスターとクラスターデータを交換する際、信頼されないシリアライズ済みオブジェクトが十分な検証なしにデシリアライズされる可能性があります。

これにより、既にワーカーを制御している攻撃者は以下が可能になります:

• 悪意のあるシリアライズ済みペイロードを注入する
• 任意のPythonオブジェクトの再構築を引き起こす
• 攻撃者が制御するコードを実行する
• マスターマネージャーへピボット(侵入)する
• rootレベルの実行権限を獲得する

🔥 攻撃経路

Initial Access → Worker Node Compromise
                ↓
Malicious Cluster Sync Payload
                ↓
Unsafe Deserialization on Master
                ↓
Root Remote Code Execution
                ↓
Full SOC / SIEM Infrastructure Compromise

📷 スクリーンショット

🎯 影響範囲

このCVEは以下の環境に影響します:

• ✅ Wazuhがクラスターモードで実行されている
• ✅ バージョンが4.0.0から4.14.2の間である
• ✅ 少なくとも1つのワーカーノードが侵害されている
• ✅ worker ↔ master間の通信が許可されている

⚠️ 高リスク対象

マスターノードが一元管理しているため:

• 検知ルール
• エージェントキー
• 統合(インテグレーション)
• アクティブレスポンス
• クラウドコネクタ
• 脅威インテリジェンスフィード
• SOCダッシュボード

攻撃が成功すると、SIEM全体の乗っ取りにつながる可能性があります。(nvd.nist.gov)

🛡️ 緩和策

✅ 恒久的な修正

直ちにアップグレードしてください:

Wazuh >= 4.14.3

ベンダーは4.14.3で本脆弱性が修正されることを確認しています。(nvd.nist.gov)

🚑 一時的な堅牢化

パッチ適用が完了するまで:

# Restrict cluster traffic
Allow only trusted worker IPs
Disable unused workers
Rotate cluster authentication secrets
Limit east-west lateral movement
Monitor cluster sync anomalies

追加の推奨事項:

• ワーカーノードを別々のVLANに分離する
• SSHアクセスを制限する
• APIキーをローテーションする
• カスタム統合を検証する
• /var/ossec/logs/を監査する
• root所有のファイル変更を確認する

🔍 検知と脅威ハンティング

📁 ログアーティファクト

以下に注目:

/var/ossec/logs/ossec.log
/var/ossec/queue/cluster/
/var/ossec/framework/python/

🧪 ハンティング指標

- unusual worker sync bursts
- malformed serialized payload errors
- unexpected Python child processes
- shell execution from wazuh-manager
- new root-owned temp files
- worker-originated privilege escalation chain

🧩 Sigmaスタイルの検知ロジック

title: Wazuh Cluster Unsafe Deserialization Attempt
id: CVE-2026-25769
status: experimental
logsource:
  product: linux
  service: wazuh-manager

detection:
  selection:
    process.parent.name: wazuh-manager
    process.name:
      - python3
      - sh
      - bash
  condition: selection

level: critical

📊 CVSSベクトル

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

📖 意味

• AV:N → ネットワーク経由で悪用可能
• AC:L → 攻撃の複雑さが低い
• PR:H → 先にワーカーの侵害が必要
• S:C → スコープがworker ➜ masterに変化
• CIA:H → 機密性・完全性・可用性への影響が深刻

🧱 経営層向けリスクステートメント

侵害されたワーカーが1台あるだけで、Wazuhマスターを完全に侵害するための足がかりとなり得、事実上、攻撃者に組織の集中型検知・対応スタックの制御を与えることになります。

これは特に以下にとって危険です:

• MSSP
• エンタープライズSOC
• マルチテナントWazuhクラスター
• クラウドSIEM環境
• 規制対象環境

📚 参考情報

• NVD勧告 — CVE-2026-25769 (nvd.nist.gov)
• Wazuhベンダー勧告 (GHSA) (github.com)
• Wazuhリリース / 修正版 (github.com)