Wazuh

In Wazuh ab Version 4.4.0 und vor 4.14.4 erlaubt eine Path-Traversal-Schwachstelle in der Extraktionsroutine der Cluster-Synchronisation einem authentifizierten Cluster-Peer, beliebige Dateien ausserhalb des vorgesehenen Verzeichnisses auf anderen Cluster-Knoten zu schreiben. Durch Überschreiben von Python-Modulen lässt sich dies zu Codeausführung im Kontext des Wazuh-Dienstes eskalieren; bei erhöhten Rechten des Cluster-Daemons ist eine Kompromittierung auf Systemebene möglich. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 4.14.4.

Wazuh ist eine Open-Source-Sicherheitsplattform für vereinheitlichten XDR- und SIEM-Schutz von Endpunkten und Cloud-Workloads. In den Versionen 4.4.0 bis 4.14.6 kann eine Partei, die im Besitz des Cluster-Keys ist, Daten schreiben beziehungsweise überschreiben. CVSS-Basiswert: 9.1 (Kritisch).

In den Wazuh-Workflows vor Commit 44bf114 besteht eine Shell-Injection- Schwachstelle in den GitHub-Actions-Workflows. Angreifer können durch das Einreichen von Pull Requests mit manipulierten VERSION.json-Dateien beliebige Befehle zur Ausführung bringen. CVSS-Basiswert: 10.0 (Kritisch).

In Wazuh Manager vor Version 5.0.0-beta3 wird das Feld DataValue.index beim Erzeugen von OpenSearch-Bulk-Anfragen nicht korrekt maskiert. Dadurch können angemeldete Agenten beliebige NDJSON-Operationen einschleusen und in die Bulk-Anfrage einschmuggeln. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: auf Wazuh Manager 5.0.0-beta3 oder neuer aktualisieren.

In der Cluster-Synchronisation des Wazuh Managers (ab Version 3.9.0 und vor 4.14.3) besteht eine Rechteausweitungs-Schwachstelle. Der Dienst wazuh-clusterd erlaubt authentifizierten Knoten, beliebige Dateien mit den Rechten des wazuh-Systembenutzers zu schreiben; über unsichere Standardrechte lässt sich die Hauptkonfiguration ossec.conf überschreiben und ein bösartiger localfile-Befehlsblock einschleusen, den der als root laufende wazuh-logcollector ausführt. Dies ermöglicht einem Angreifer mit Cluster-Zugangsdaten vollständige Root-Codeausführung aus der Ferne. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Version 4.14.3 aktualisieren.

Wazuh ist eine freie und quelloffene Plattform zur Bedrohungsprävention, -erkennung und -reaktion. Die Versionen 4.0.0 bis 4.14.2 enthalten eine Remote-Code-Execution-Schwachstelle infolge der Deserialisierung nicht vertrauenswürdiger Daten. Betroffen sind alle Wazuh-Deployments im Cluster-Modus (Master/Worker-Architektur). Ein Angreifer, der Zugriff auf einen Worker-Knoten erlangt, kann vollständige RCE auf dem Master-Knoten mit Root-Rechten erreichen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf Version 4.14.3 einspielen.

In Wazuh, einer freien Open-Source-Plattform zur Bedrohungsprävention, -erkennung und -reaktion, besteht in wazuh-analysisd beim Verarbeiten von Unicode-Zeichen aus Windows-Eventchannel-Nachrichten eine Pufferüberlauf-Gefahr. Betroffen ist Wazuh Manager ab Version 3.8.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf die bereitgestellte fehlerbereinigte Version Wazuh Manager 4.7.2 aktualisieren.

Wazuh ist eine freie und quelloffene Plattform zur Bedrohungsprävention, -erkennung und -reaktion. In den Versionen 4.0.0 bis 4.10.3 und 4.11.0 bis 4.14.4 betrifft ein Logikfehler die Registrierung (Enrollment) des Wazuh-Managers. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Wazuh ist eine freie Open-Source-Plattform zur Bedrohungsprävention, -erkennung und -reaktion. In Versionen vor 4.14.5 erlauben Probleme in der Verarbeitung der Cluster Distributed API (DAPI) einem Cluster-Peer schädliches Verhalten. CVSS-Basiswert: 8.4 (Hoch).

In Wazuh Agent vor Version 4.13.0 können authentifizierte Angreifer über bösartige UNC-Pfade in diversen Agent-Konfigurationseinstellungen eine NTLM-Authentifizierung erzwingen. Dies kann zu NTLM-Relay-Angriffen führen, die eine Rechteausweitung und Remote-Code-Ausführung zur Folge haben. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 4.13.0.

In Wazuh tritt in der Funktion decode_win_permissions ein Heap-basierter Out-of-Bounds-Schreibzugriff auf, bei dem ein Null-Byte zwei Byte vor dem Anfang des Puffers geschrieben wird. Ein kompromittierter Agent kann durch eine speziell präparierte Nachricht an den Wazuh-Manager möglicherweise Remote-Code-Ausführung erreichen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 4.10.2.

In Wazuh prüft die Funktion fillData() vor Version 4.10.2 laut Herstellerangabe nicht, ob value NULL ist, bevor os_strdup() darauf aufgerufen wird. Ein kompromittierter Agent kann durch eine speziell präparierte Nachricht an den Wazuh-Manager einen Absturz von analysisd auslösen und den Dienst dadurch unverfügbar machen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 4.10.2 oder neuer aktualisieren.

In DecodeWinevt() von Wazuh vor Version 4.10.2 wird auf child_attr[p]->attributes[j] mit einem fehlerhaften Index zugegriffen, was zu einem Pufferüberlesen (Buffer Over-Read) führt. Ein kompromittierter Agent kann durch eine speziell präparierte Nachricht an den Wazuh-Manager den Zugriff auf Speicherbereiche ausserhalb des zugewiesenen Puffers auslösen und dadurch potenziell sensible Daten offenlegen. Das Problem tritt insbesondere bei aktivierter Konfiguration analysisd.debug=2 auf. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 4.10.2.

In Wazuh vor Version 4.11.0 greift die Funktion w_copy_event_for_log() auf bereits freigegebenen Speicher zu, der ursprünglich in OS_CleanMSG() allokiert wurde. Ein kompromittierter Agent kann durch eine speziell präparierte Nachricht an den Wazuh-Manager die Integrität der Anwendung beeinträchtigen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 4.11.0.

In Wazuh prüft die Implementierung von fim_alert() vor Version 4.11.0 den Rückgabewert von ctime_r nicht auf NULL, bevor strdup() darauf aufgerufen wird. Ein kompromittierter Agent kann durch eine speziell präparierte Nachricht an den Wazuh-Manager einen Absturz von analysisd auslösen und diesen damit unverfügbar machen. Behoben ist die Schwachstelle in Version 4.11.0. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 4.11.0 oder neuer aktualisieren.

In Wazuh prüft die Funktion fim_fetch_attributes_state() vor Version 4.11.0 laut Herstellerangabe nicht, ob time_string NULL ist, bevor strlen() darauf aufgerufen wird. Ein kompromittierter Agent kann durch eine speziell präparierte Nachricht an den Wazuh-Manager einen Absturz von analysisd auslösen und den Dienst dadurch unverfügbar machen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 4.11.0 oder neuer aktualisieren.

In der DecodeCiscat()-Implementierung von Wazuh vor Version 4.11.0 wird der Rückgabewert von cJSON_GetObjectItem() nicht auf einen möglichen NULL-Wert geprüft. Ein kompromittierter Agent kann durch eine speziell präparierte Nachricht an den Wazuh-Manager einen Absturz des analysisd-Prozesses auslösen und diesen dadurch unverfügbar machen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 4.11.0.

In Wazuh tritt vor Version 4.12.0 ein Buffer-Over-Read in der Funktion w_expression_match() auf, da der zugehörige Puffer bei der Allokation in OS_CleanMSG() nicht korrekt NULL-terminiert wird. Ein kompromittierter Agent kann durch eine speziell präparierte Nachricht an den Wazuh-Manager ein Lesen über das Ende des allokierten Puffers hinaus auslösen und so potenziell sensible Daten offenlegen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 4.12.0.

Der Wazuh-Agent für Windows ist für eine lokale Rechteausweitung anfällig, wenn er in ein nicht standardmässiges Verzeichnis (z. B. C:\wazuh) installiert wurde: Auf den Installationsordner wird dann eine fehlerhafte ACL angewendet. Ein lokaler Angreifer mit niedrigen Rechten kann eine bösartige DLL, die auf dem System fehlt (etwa rsync.dll), in den Installationsordner legen oder die Dienst-Binärdatei ersetzen und so Code im Kontext von NT AUTHORITY\SYSTEM ausführen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Version 4.9.0 aktualisieren; Workarounds sind laut Hersteller nicht bekannt.

Wazuh ist eine quelloffene Plattform zur Bedrohungserkennung und -abwehr. Eine fehlerhafte Validierung im Skript host_deny erlaubt es, beliebige Zeichenketten in die Datei hosts.deny zu schreiben, was über die Active-Response-Funktion zur Ausführung beliebiger Befehle auf dem Zielsystem führen kann. Dies kann zu einer lokalen Rechteausweitung auf dem Server als root sowie zu entfernter Codeausführung auf dem Agenten als root führen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 4.7.2.

Wazuh ist eine freie, quelloffene Plattform zur Bedrohungsprävention, -erkennung und -reaktion. Ein Fehler führte zu einem Stack-Overflow, der eine lokale Rechteausweitung ermöglichen kann. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Update auf Wazuh 4.5.3 oder neuer.

In Wazuh 4.4.0 und 4.4.1 lässt sich der vom Dashboard verwendete API-Administratorschlüssel über die Entwicklerwerkzeuge des Browsers auslesen. Dadurch kann ein am Dashboard angemeldeter Benutzer Administrator der API werden, selbst wenn seine Dashboard-Rolle dies nicht vorsieht. Version 4.4.2 enthält die Korrektur; bekannte Umgehungslösungen gibt es nicht. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Wazuh 4.4.2 oder neuer aktualisieren.

Wazuh ist eine freie und quelloffene Plattform zur Bedrohungsprävention, -erkennung und -reaktion. In Versionen ab 3.0.0 und vor 4.14.5 ermöglicht ein size_t-Integer-Underflow in os_crypto/shared/msgs.c (Zeile 389) eine Ausnutzung. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: auf Version 4.14.5 aktualisieren.

Wazuh, eine freie und quelloffene Plattform zur Bedrohungsprävention, -erkennung und -reaktion, weist laut NVD in Versionen ab 4.6.0 bis vor 4.14.5 einen Logikfehler in CheckRateLimitsMiddleware.dispatch() auf. Die Ratenbegrenzung greift dadurch nicht wie vorgesehen. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedrigen Rechten ausnutzbar und beeinträchtigt die Verfügbarkeit. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Wazuh auf Version 4.14.5 oder neuer aktualisieren.

Wazuh ist eine freie und quelloffene Plattform zur Bedrohungsprävention, -erkennung und -reaktion. In den Versionen ab 3.9.0 bis vor 4.14.5 kann ein entfernter Angreifer eine Speichererschöpfung im Cluster auslösen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Wazuh ist eine quelloffene Plattform zur Bedrohungsprävention, -erkennung und -reaktion. In Versionen ab 1.0.0 und vor 4.14.5 ermöglicht ein Heap-Buffer-Overflow in der Komponente wazuh-analysisd einem nicht authentifizierten Angreifer eine Beeinträchtigung. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 4.14.5 oder neuer aktualisieren.

Wazuh 5.0.0-beta1 (behoben in 5.0.0-beta3) validiert die Felder cluster_name und cluster_node in inventory-sync Start FlatBuffer-Nachrichten nicht bzw. überschreibt sie nicht, während laut NVD lediglich die agentid geprüft wird. CVSS-Basiswert: 6.3 (Mittel).

Wazuh ist eine freie und quelloffene Plattform zur Bedrohungsprävention, -erkennung und -reaktion. Die Versionen ab 4.6.0 bis vor 4.14.5 enthalten einen Heap-basierten Pufferüberlauf in der Syscheck-Komponente. Laut CVSS-Vektor ist die Lücke nur lokal und mit hoher Angriffskomplexität ausnutzbar und wirkt sich ausschliesslich auf die Verfügbarkeit aus. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Aktualisierung auf Wazuh 4.14.5.