Wazuh Agent: Remote Code Execution über SCA-Befehlsrichtlinien
Zusammenfassung
Wazuh-Agenten ab 4.3.0 bis vor 4.14.8 vertrauen Richtlinien der Security Configuration Assessment (SCA) anhand ihres Dateipfads statt ihrer Konfigurationsquelle. Ein bösartiger oder kompromittierter Wazuh-Manager kann über den Upgrade-Kanal eine unsignierte Richtliniendatei im Verzeichnis var/incoming des Agenten ablegen und in der gemeinsamen Konfiguration referenzieren, sodass deren Befehlsprüfungen als root auf dem Agenten laufen. Die Standardeinstellung sca.remote_commands=0 verhindert dies nicht, und der Angriff setzt die Kontrolle über den Manager voraus.
Betroffen
- Wazuh wazuh-agent 4.3.0 bis vor 4.14.8
- Hinweis: VulDB nennt den Bereich bis 4.14.7; CNA und NVD nennen den Bereich bis vor 4.14.8.
Behoben in
- wazuh-agent auf 4.14.8 aktualisieren (veröffentlicht am 23. September 2026).
- Die Korrektur ist in den Release Notes als #37953 (Improved SCA policy source validation) aufgeführt.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround.
- Bis zur Korrektur den Administratorzugriff auf den Wazuh-Manager einschränken und den Upgrade-Kanal des Managers überwachen.
Ausnutzung
- CISA SSVC: Ausnutzung 'poc', automatisierbar 'no', technische Auswirkung 'total'.
- Im GHSA-Advisory wird ein Proof of Concept erwähnt; ACN meldet einen öffentlich verfügbaren PoC.
- Die Quellen widersprechen sich zur Ausnutzung in freier Wildbahn (Cystack meldet 'Actively exploited'; ACN und ThehackerWire nicht). Zum Zeitpunkt der Erfassung nicht im CISA KEV verifiziert.
Unsere Empfehlung
- Wazuh-Manager und alle Agenten auf 4.14.8 oder neuer aktualisieren.
- Administratorrechte auf dem Manager überprüfen und eine Kompromittierung des Managers als Risiko für alle verwalteten Endgeräte behandeln.
- Gemeinsame Agenten-Konfiguration und SCA-Richtlinienverweise auf unerwartete var/incoming-Pfade prüfen.
- Agenten auf unerwartete Befehlsausführung als root und Dateierstellung in var/incoming überwachen.
- Weitere in 4.14.8 behobene Wazuh-CVEs gleichzeitig einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wazuh Release v4.14.8 github.com
- GitHub Security Advisory GHSA-qmhg-366r-jjfp github.com
- VulnCheck Advisory www.vulncheck.com
- Wazuh fix pull request #37953 github.com
- ACN: PoC availability for Wazuh vulnerabilities www.acn.gov.it
- NVD record via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:31.
Referenzen der NVD (4)
- https://github.com/wazuh/wazuh/releases/tag/v4.14.8
- https://github.com/wazuh/wazuh/security/advisories/GHSA-qmhg-366r-jjfp
- https://www.vulncheck.com/advisories/wazuh-4.3.0-before-4.14.8-remote-code-execution-via-sca-command-policies
- https://github.com/wazuh/wazuh/security/advisories/GHSA-qmhg-366r-jjfp
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.