🚨 CVE-2026-25769 — Небезопасная десериализация Wazuh с удалённым выполнением кода (RCE)

Критический RCE: Worker ➜ Master в кластерном режиме Wazuh

Небезопасная десериализация в кластерных коммуникациях Wazuh позволяет скомпрометированному worker-узлу выполнить RCE с правами root на master-узле.

📌 Обзор

Идентификатор CVE: CVE-2026-25769 Продукт: Wazuh Затронутые версии: 4.0.0 → 4.14.2 Исправленная версия: 4.14.3 Критичность: Критическая CVSS v3.1: 9.1 CWE: CWE-502 — десериализация недоверенных данных

Критическая уязвимость в кластерном режиме Wazuh позволяет атакующему с доступом к worker-узлу отправлять вредоносные сериализованные полезные нагрузки, которые обрабатываются master-узлом, что приводит к удалённому выполнению кода с правами root. (nvd.nist.gov)

🧠 Техническое описание

Уязвимость существует в процессе синхронизации master/worker.

Когда worker-узел обменивается кластерными данными с master-узлом, недоверенные сериализованные объекты могут быть десериализованы без достаточной проверки.

Это позволяет злоумышленнику, уже контролирующему worker-узел:

• внедрять вредоносные сериализованные полезные нагрузки
• инициировать произвольное восстановление объектов Python
• выполнять код, контролируемый атакующим
• проникать в master manager
• получать выполнение кода с правами root

🔥 Путь атаки

Initial Access → Worker Node Compromise
                ↓
Malicious Cluster Sync Payload
                ↓
Unsafe Deserialization on Master
                ↓
Root Remote Code Execution
                ↓
Full SOC / SIEM Infrastructure Compromise

📷 Скриншот

🎯 Область воздействия

Этот CVE затрагивает среды, в которых:

• ✅ Wazuh работает в кластерном режиме
• ✅ версия находится в диапазоне от 4.0.0 до 4.14.2
• ✅ как минимум один worker-узел скомпрометирован
• ✅ разрешено взаимодействие worker ↔ master

⚠️ Цели высокого риска

Поскольку master-узел централизует:

• правила обнаружения
• ключи агентов
• интеграции
• активные ответы
• облачные коннекторы
• каналы threat intelligence
• панели мониторинга SOC

Успешная эксплуатация может привести к полному захвату SIEM. (nvd.nist.gov)

🛡️ Смягчение последствий

✅ Постоянное исправление

Немедленно обновитесь:

Wazuh >= 4.14.3

Вендор подтверждает, что версия 4.14.3 устраняет уязвимость. (nvd.nist.gov)

🚑 Временное усиление защиты

До завершения установки исправления:

# Restrict cluster traffic
Allow only trusted worker IPs
Disable unused workers
Rotate cluster authentication secrets
Limit east-west lateral movement
Monitor cluster sync anomalies

Дополнительные рекомендации:

• изолируйте worker-узлы в отдельных VLAN
• ограничьте доступ по SSH
• ротируйте API-ключи
• проверяйте пользовательские интеграции
• аудируйте /var/ossec/logs/
• проверяйте изменения файлов, принадлежащих root

🔍 Обнаружение и охота за угрозами

📁 Артефакты журналов

Сосредоточьтесь на:

/var/ossec/logs/ossec.log
/var/ossec/queue/cluster/
/var/ossec/framework/python/

🧪 Индикаторы для охоты

- unusual worker sync bursts
- malformed serialized payload errors
- unexpected Python child processes
- shell execution from wazuh-manager
- new root-owned temp files
- worker-originated privilege escalation chain

🧩 Логика обнаружения в стиле Sigma

title: Wazuh Cluster Unsafe Deserialization Attempt
id: CVE-2026-25769
status: experimental
logsource:
  product: linux
  service: wazuh-manager

detection:
  selection:
    process.parent.name: wazuh-manager
    process.name:
      - python3
      - sh
      - bash
  condition: selection

level: critical

📊 Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

📖 Расшифровка

• AV:N → эксплуатируется по сети
• AC:L → низкая сложность
• PR:H → требует предварительной компрометации worker-узла
• S:C → изменённая область действия: worker ➜ master
• CIA:H → полное воздействие на конфиденциальность, целостность и доступность

🧱 Заявление о рисках для руководства

Один скомпрометированный worker-узел может стать стартовой площадкой для полной компрометации master-узла Wazuh, фактически предоставляя атакующему контроль над централизованным стеком обнаружения и реагирования организации.

Это особенно опасно для:

• MSSP-провайдеров
• корпоративных SOC
• мультитенантных кластеров Wazuh
• облачных развёртываний SIEM
• регулируемых сред

📚 Ссылки

• Консультация NVD — CVE-2026-25769 (nvd.nist.gov)
• Консультация вендора Wazuh (GHSA) (github.com)
• Релизы Wazuh / Исправленная версия (github.com)