Wazuh Manager: Unzureichende Invalidierung von API-Tokens für run_as-Benutzer

Zusammenfassung

Wazuh Manager 4.0.0 vor 4.14.8 invalidiert bereits ausgestellte API-Tokens für run_as-Benutzer ohne statische Rollen nicht, da check_token die Token-Blacklist nie prüft. Ein Angreifer mit einer entzogenen Administratorberechtigung kann weiterhin authentifiziert bleiben und die Administratorrolle seinem eigenen Konto erneut zuweisen, wodurch der privilegierte Zugriff dauerhaft wird. Der Angreifer muss bereits eine privilegierte API-Sitzung besitzen (PR:H), daher betrifft das Risiko vor allem ehemalige Administratoren, deprovisionierte SSO-Benutzer und Insider.

Betroffen

• Wazuh wazuh-manager 4.0.0 bis vor 4.14.8 (Bereich gemäss CNA)
• Die Herstellerwarnung nennt 4.0.0 bis 4.14.7 und erwähnt zusätzlich den main-Branch
• Betroffene Installationen: run_as-Benutzer ohne statische Rollen, z. B. SSO- oder Authorization-Context-Setups mit dynamisch zugewiesenen Rollen

Behoben in

• Auf Wazuh 4.14.8 oder neuer aktualisieren (Herstellerrelease v4.14.8, 23. September 2026)
• Hinweis: Das Changelog von 4.14.8 nennt diese Korrektur nicht explizit; nach dem Update beim Hersteller bestätigen lassen

Umgehung

• Kein Workaround vom Hersteller dokumentiert.
• Übergangsmassnahmen (keine Herstellervorgabe): Zugriff auf die Manager-API auf Management-Netze beschränken; Administratorkonten sowie Auth-Context- und run_as-Rollenzuordnungen überprüfen; auf Administratorrollen achten, die nach der Deprovisionierung erneut hinzugefügt wurden; Zugangsdaten von Benutzern zurücksetzen, deren Adminrechte entzogen wurden, bis das Update verifiziert ist

Ausnutzung

• CISA SSVC (über CNA): Ausnutzung poc, automatisierbar nein, technische Auswirkung total
• Der Status eines öffentlichen PoC ist umstritten: Ein nationales CSIRT (ACN) listet einen PoC als verfügbar, eine andere Quelle nennt keinen öffentlichen PoC
• Ein Aggregator behauptet aktive Ausnutzung, es wurde jedoch kein Primärnachweis gefunden
• Es ist davon auszugehen, dass ein PoC existieren kann

Unsere Empfehlung

• Alle Wazuh-4.x-Manager auf 4.14.8 oder neuer aktualisieren, vorrangig SSO- oder Deployments mit dynamischen Rollen
• Prüfen, ob die Manager-API aus dem Internet oder aus unvertrauenswürdigen Netzen erreichbar ist, und den Zugriff einschränken
• Administratorkonten und Rollenzuweisungen überprüfen und veraltete oder erneut hinzugefügte Administratorrollen entfernen
• Nach dem Update bestehende API-Tokens global widerrufen und die API-Logs auf unerwartete Rollenänderungen überwachen
• Den SIEM-Server als kritisch behandeln: Administratorzugriff auf die API kann zu Root-Zugriff auf dem Manager führen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wazuh release v4.14.8 github.com
• Wazuh security advisory GHSA-3xm6-wp5v-2fm9 github.com
• VulnCheck advisory: Wazuh session invalidation bypass in check_token www.vulncheck.com
• ACN: available PoCs for vulnerabilities in Wazuh www.acn.gov.it
• NVD record via Vulners mirror vulners.com
• The Hacker Wire: CVE-2026-74037 www.thehackerwire.com
• Strix: CVE-2026-74037 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:32.