Wazuh - CVE-2026-74040
Date de publication :
Il s’agit d’une vulnérabilité dans la fonction process_files_from_worker du composant MasterHandler du cluster Wazuh.
Wazuh est une plateforme open source de sécurité pour la détection de menaces, la supervision de l’intégrité des fichiers et la réponse aux incidents. Elle collecte et analyse les journaux d’événements des hôtes. Elle repose sur des agents installés sur les hôtes, un manager central et des composants d’indexation et de visualisation.
Un nœud worker compromis qui détient la clé de cluster partagée peut envoyer des fichiers au manager maître. Un nom de fichier terminé par un slash final contourne la liste des fichiers protégés, car le contrôle porte sur le nom brut alors que l’écriture normalise le chemin. Le maître ne vérifie pas non plus le sens de transfert autorisé (extra_valid), donc agent.conf, les règles et les décodeurs peuvent être écrasés sans contournement. Un ossec.conf modifié avec un wodle command s’exécute en root, et un agent.conf modifié est poussé à tous les agents.
Elle permet d’exécuter du code arbitraire en root sur le manager et sur chaque agent.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-862 : Missing Authorization
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur à privilège
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
Wazuh Manager (wazuh-manager) versions 3.9.0 jusqu’à 4.14.7