Wazuh - CVE-2026-28220
Date de publication :
Il s'agit d'une double vulnérabilité de désérialisation de données non fiables (CWE-502) et d'injection de contexte d'autorisation RBAC (CWE-863) dans le composant Cluster Distributed API (DAPI) de Wazuh.
Wazuh est une plateforme open source de détection et réponse aux menaces, utilisée pour la supervision de sécurité, la corrélation d'événements et la génération d'alertes SIEM. Le composant wazuh-analysisd constitue le moteur d'analyse central du gestionnaire Wazuh, chargé de traiter les événements remontés par les agents déployés sur le parc supervisé.
Deux problèmes liés à la gestion de l'API distribuée en cluster (DAPI) de Wazuh permettent à un pair du cluster (ou à tout acteur capable de s'authentifier sur le canal du cluster à l'aide de la clé partagée) d'amener le nœud maître à désérialiser un élément exécutable contrôlé par l'attaquant et à l'exécuter dans un contexte RBAC également contrôlé par ce dernier. Cela permet d'effectuer des actions administratives privilégiées sur le nœud maître (par exemple, l'écriture de fichiers arbitraires sous `WAZUH_PATH`, la création de nouveaux utilisateurs API et la modification du fichier `security.yaml`) et peut conduire, par enchaînement d'actions, à une compromission totale du manager.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Exécution de code arbitraire (à distance)
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Déni de service (à distance)
Exploitation
CWE-502 : Deserialization of Untrusted Data
Détails sur l'exploitation
• Vecteur d'attaque : Réseau local
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur à privilège
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : En attente d’information
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
Wazuh de la version 4.0.0 (incluse) à 4.14.4.