Wazuh wazuh-manager: Beliebiges Lesen von Dateien als root über Agent-Upgrade-Befehl

Zusammenfassung

Wazuh wazuh-manager ab 4.1.0 vor 4.14.8 prüft nicht, ob ein Upgrade-Befehl von der API des Managers oder von einem registrierten Agenten stammt. Ein registrierter Agent kann einen upgrade_custom-Befehl mit einem frei gewählten Dateipfad senden, und der Manager, der als root läuft, sendet den Dateiinhalt an diesen Agenten zurück. Bei anonymer Agenten-Registrierung, die der Standard ist, sind keine Zugangsdaten nötig, weshalb ein Angreifer, der die Registrierungs- und Agenten-Ports erreichen kann, Dateien wie /etc/shadow, Agenten-Schlüssel und den API-Signaturschlüssel lesen kann.

Betroffen

• Wazuh wazuh-manager 4.1.0 bis und mit 4.14.7
• Laut Hersteller könnte der Agenten-Teil auch Agenten vor 4.14.8 betreffen (nicht bestätigt)

Behoben in

• Wazuh wazuh-manager 4.14.8

Umgehung

• Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden.
• Temporäre Massnahme (nicht vom Hersteller): Zugriff auf die Ports 1514 und 1515 auf die nötigen Hosts beschränken und eine Authentifizierung bei der Registrierung verlangen.

Ausnutzung

• Öffentlicher Proof of Concept verfügbar (CISA SSVC: Exploitation poc, automatisierbar ja)
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden; laut einer Sekundärquelle nicht im CISA KEV aufgeführt

Unsere Empfehlung

• wazuh-manager auf 4.14.8 oder neuer aktualisieren.
• Agenten ebenfalls auf 4.14.8 aktualisieren, wie es die Herstellerwarnung und Sekundärquellen nahelegen.
• Zugriff auf die Registrierungs-Ports (1515) und die Agenten-Ports (1514) auf die benötigten Hosts beschränken.
• Registrierungspasswörter oder Zertifikate statt anonymer Registrierung verlangen.
• Registrierte Agenten prüfen und auf unerwartete Upgrade-Meldungen überwachen.
• Falls eine Exposition möglich war, Schlüssel des Managers, API-Zugangsdaten und Agenten-Schlüssel erneuern.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  roninreilly/wazuh-unauth-chain

Quellen der Recherche

• GitHub Security Advisory GHSA-r7hm-43xr-477j github.com
• Wazuh release v4.14.8 github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-74034 osv.dev
• Vulners NVD record CVE-2026-74034 vulners.com
• Public proof of concept repository (not reviewed) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:28.