Wazuh Manager: Umgehung der Remote-Befehlsvalidierung durch Schreibweise

Zusammenfassung

Wazuh Manager prüft hochgeladene ossec.conf-Dateien mit einer case-sensitiven Prüfung, während wazuh-logcollector dieselbe Datei case-insensitiv auswertet. Ein authentifizierter Benutzer mit manager:update_config kann mit einem Element LOG_FORMAT in Grossbuchstaben einen Befehls-localfile vor dem Validator verbergen; der Collector führt den Befehl nach einem Neuladen der Konfiguration oder einem Neustart des Managers als root aus. Der CVSS-4.0-Basiswert in der Eingabe beträgt 8.6; VulnCheck bewertet die Lücke mit 9.4 inklusive Auswirkungen auf Folgesysteme.

Betroffen

• wazuh-manager 4.14.3 bis vor 4.14.8
• wazuh-manager 4.10.4 bis vor 4.10.5
• Quellenhinweis: Einige Aggregatoren nennen nur den Zweig 4.14.x; der offizielle CVE-Eintrag und das GitHub-Advisory führen auch 4.10.x auf.

Behoben in

• Upgrade von wazuh-manager 4.14.x auf 4.14.8 oder neuer
• Upgrade von wazuh-manager 4.10.x auf 4.10.5 oder neuer

Umgehung

Unbekannt.

Der Hersteller beschreibt keine Workaround-Massnahme. Die Einstellung remote_commands.localfile.allow auf no verhindert die Umgehung nicht. Die Berechtigung manager:update_config auf die minimale Anzahl an Administratoren zu beschränken, verringert das Risiko bis zum Upgrade.

Ausnutzung

• CISA SSVC: Exploitation-Status PoC, nicht automatisierbar, totale technische Auswirkung
• Ein öffentlicher Proof of Concept wird referenziert; er soll diese Lücke mit einer zweiten CVE verketten
• Zum Zeitpunkt der Recherche wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet

Unsere Empfehlung

• Alle Wazuh-Manager inklusive Cluster-Knoten und Testsysteme inventarisieren und deren Versionen erfassen
• Betroffene Manager auf 4.14.8 bzw. 4.10.5 oder neuer aktualisieren
• Bis zum Abschluss des Upgrades die Berechtigung manager:update_config auf die erforderlichen Administratoren beschränken und aktuelle Konfigurationsänderungen und Neuladevorgänge prüfen
• Prüfen, ob die Manager-API aus nicht vertrauenswürdigen Netzen erreichbar ist, und den Zugriff einschränken
• Auf unerwartete localfile- oder Befehlseinträge in ossec.conf überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wazuh v4.14.8 release github.com
• GitHub Security Advisory GHSA-cjf8-wjx6-hjw6 github.com
• VulnCheck advisory www.vulncheck.com
• ACN: available PoCs for Wazuh vulnerabilities www.acn.gov.it
• Wazuh 4.14.8 release notes documentation.wazuh.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:32.