Wazuh-Manager: Beliebiges Überschreiben von Dateien führt zu Root-RCE über Cluster-Worker

Zusammenfassung

Wazuh-Manager-Versionen ab 3.9.0 bis vor 4.14.8 erlauben es einem Cluster-Worker, geschützte Master-Dateien zu überschreiben, darunter ossec.conf und agent.conf. Ein Angreifer, der einen Worker kontrolliert und dessen Cluster-Schlüssel besitzt, kann Konfigurationen einschleusen, die zu Remote Code Execution mit Root-Rechten auf dem Manager und über agent.conf auf jedem registrierten Agenten führen. Der Angriff setzt die Kontrolle über einen Cluster-Worker und dessen gemeinsamen Schlüssel voraus, daher sind eigenständige Manager ohne Cluster über diesen Pfad nicht exponiert.

Betroffen

• wazuh-manager 3.9.0 bis vor 4.14.8 (gemäss CNA VulnCheck)
• Einige Quellen nennen einen engeren Bereich von 4.14.0 bis 4.14.8; gegen das Herstelleradvisory prüfen
• Fix-Status für 3.x-Zweige: Unbekannt.

Behoben in

• Auf wazuh-manager 4.14.8 oder neuer aktualisieren.
• Fix-Status für 3.x-Zweige: Unbekannt.

Umgehung

• Kein vom Hersteller bestätigter Workaround. Das Aktualisieren ist die Behebung.
• Kompensierende Massnahmen (Drittquellen): Schreibrechte auf Master-Konfigurationsverzeichnisse auf das nötige Minimum beschränken, einschränken, welche Hosts als Cluster-Worker dienen dürfen, und den Cluster-Schlüssel schützen.

Ausnutzung

• CVSS 4.0 Score 9.4 (kritisch); CISA SSVC: Exploitation PoC, nicht automatisierbar, totale technische Auswirkung.
• Ein öffentlicher PoC könnte existieren; die Quellen widersprechen sich. Von einem möglichen PoC ausgehen.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA-KEV-Status nicht verifiziert.

Unsere Empfehlung

• Alle Cluster-Wazuh-Manager vorrangig auf 4.14.8 oder neuer aktualisieren.
• 3.x-Instanzen identifizieren; ihr Fix-Status ist unbekannt, daher einen Upgrade-Pfad planen.
• Prüfen, welche Systeme als Cluster-Worker agieren, und diese auf vertrauenswürdige, gehärtete Hosts beschränken.
• Änderungen an ossec.conf und agent.conf alarmieren und clusterbezogene Aktivitäten auf Auffälligkeiten prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wazuh release v4.14.8 github.com
• Wazuh GitHub security advisory GHSA-88p6-7cm8-xwj8 github.com
• VulnCheck advisory for CVE-2026-74040 www.vulncheck.com
• ACN PoC availability list for Wazuh www.acn.gov.it
• OSV record CVE-2026-74040 osv.dev
• TheHackerWire analysis CVE-2026-74040 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:05.