🚨 CVE-2026-25769 - Wazuh 不安全反序列化远程代码执行

关键型 Worker ➜ Master 远程代码执行（Wazuh 集群模式）

Wazuh 集群通信中的不安全反序列化允许被攻破的 worker 节点 在 master 节点 上实现 root 权限的远程代码执行。

📌 概述

CVE ID: CVE-2026-25769 产品: Wazuh 受影响版本: 4.0.0 → 4.14.2 修复版本: 4.14.3 严重性: 严重 CVSS v3.1: 9.1 CWE: CWE-502 — 不可信数据的反序列化

Wazuh 集群模式中的一个严重漏洞允许具有 worker 节点 访问权限的攻击者发送恶意序列化 payload，这些 payload 由 master 节点 处理，导致 具有 root 权限的远程代码执行。(nvd.nist.gov)

🧠 技术摘要

该漏洞存在于 master/worker 同步工作流 中。

当 worker 节点与 master 交换集群数据时，不可信的序列化对象 可能在没有充分验证的情况下被反序列化。

这使得已经控制 worker 的威胁行为者能够：

• 注入恶意序列化 payload
• 触发任意 Python 对象重建
• 执行攻击者控制的代码
• 横向移动到 master 管理器
• 获得 root 权限的执行

🔥 攻击路径

初始访问 → Worker 节点被攻破
                ↓
恶意集群同步 Payload
                ↓
Master 上的不安全反序列化
                ↓
Root 权限远程代码执行
                ↓
完全 SOC / SIEM 基础设施被攻破

📷 截图

🎯 受影响范围

该 CVE 影响以下环境：

• ✅ Wazuh 运行在 集群模式
• ✅ 版本在 4.0.0 和 4.14.2 之间
• ✅ 至少有一个 worker 节点已被攻破
• ✅ worker ↔ master 通信允许

⚠️ 高风险目标

由于 master 节点集中管理：

• 检测规则
• agent 密钥
• 集成
• 主动响应
• 云连接器
• 威胁情报源
• SOC 仪表板

成功利用可能导致 完全接管 SIEM。(nvd.nist.gov)

🛡️ 缓解措施

✅ 永久修复

立即升级：

Wazuh >= 4.14.3

供应商确认 4.14.3 已修复该漏洞。(nvd.nist.gov)

🚑 临时加固

在完成修复前：

# 限制集群流量
仅允许受信任的 worker IP
禁用未使用的 worker
轮换集群认证密钥
限制东西向横向移动
监控集群同步异常

其他建议：

• 将 worker 节点隔离到独立的 VLAN
• 限制 SSH 访问
• 轮换 API 密钥
• 验证自定义集成
• 审计 /var/ossec/logs/
• 审查 root 拥有的文件变更

🔍 检测与威胁狩猎

📁 日志工件

关注：

/var/ossec/logs/ossec.log
/var/ossec/queue/cluster/
/var/ossec/framework/python/

🧪 狩猎指标

- worker 同步突发异常
- 格式错误的序列化 payload 错误
- 意外的 Python 子进程
- 从 wazuh-manager 执行的 shell
- 新的 root 拥有的临时文件
- worker 发起的提权链

🧩 Sigma 风格检测逻辑

title: Wazuh 集群不安全反序列化尝试
id: CVE-2026-25769
status: experimental
logsource:
  product: linux
  service: wazuh-manager

detection:
  selection:
    process.parent.name: wazuh-manager
    process.name:
      - python3
      - sh
      - bash
  condition: selection

level: critical

📊 CVSS 向量

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

📖 含义

• AV:N → 可通过网络利用
• AC:L → 低复杂度
• PR:H → 需要先攻破 worker
• S:C → 作用域改变 worker ➜ master
• CIA:H → 完全影响机密性、完整性、可用性

🧱 执行层风险声明

一个被攻破的 worker 可以成为 完全攻破 Wazuh master 的跳板，使攻击者有效控制组织集中化的检测与响应栈。

这对以下环境尤其危险：

• MSSP
• 企业 SOC
• 多租户 Wazuh 集群
• 云 SIEM 部署
• 监管环境

📚 参考

• NVD 公告 — CVE-2026-25769 (nvd.nist.gov)
• Wazuh 供应商公告 (GHSA) (github.com)
• Wazuh 发布版 / 已修复版本 (github.com)