Wazuh Manager: Path Traversal in Cluster-Upload-Funktionen
Zusammenfassung
Wazuh Manager ab Version 4.1.1 bis vor 4.14.8 enthalten eine Path-Traversal-Schwachstelle in den Cluster-Upload-Funktionen upload_list_file, upload_rule_file und upload_decoder_file. Ein bösartiger oder kompromittierter Cluster-Worker, der den Cluster-Schlüssel besitzt, kann Anfragen mit ../-Sequenzen im Dateinamen senden und so Dateien an beliebigen Pfaden als Dienstbenutzer wazuh schreiben. Die Filterung der REST-API wird auf diesem Cluster-Pfad umgangen. Das italienische CSIRT (ACN) listet einen öffentlichen Proof of Concept; eine Ausnutzung in freier Wildbahn ist nicht bestätigt.
Betroffen
- Wazuh wazuh-manager 4.1.1 bis vor 4.14.8 (CNA-Eintrag)
- Einige Quellen nennen engere oder weitere Bereiche (bis 4.14.7 bzw. 4.14.0 bis 4.14.8); ältere Versionen als betroffen behandeln, bis das Gegenteil geprüft ist
- Einzelknoten-Installationen ohne Cluster werden über diesen Pfad nicht erreicht
- 5.0.0-Beta: unbekannt
Behoben in
- Wazuh 4.14.8 (laut Release-Notes des Herstellers am 23. September 2026 veröffentlicht)
Umgehung
- Keine vom Hersteller dokumentiert. Das Aktualisieren auf 4.14.8 oder neuer ist die Abhilfe.
Ausnutzung
- Öffentlicher Proof of Concept vom ACN aufgeführt; von uns nicht geprüft
- Keine bestätigte Ausnutzung in freier Wildbahn
- EPSS 0.00363 (geringe kurzfristige Wahrscheinlichkeit)
- Angreifer benötigt den Cluster-Schlüssel (CVSS 4.0 PR:H)
Unsere Empfehlung
- Alle Wazuh-Manager-Knoten auf 4.14.8 oder neuer aktualisieren, Multi-Node-Cluster zuerst
- Cluster-Schlüssel als hochwertiges Geheimnis behandeln und rotieren, wenn sich Personal oder Hosts mit Zugriff geändert haben
- Nicht genutzte Cluster-Knoten entfernen und den Zugriff auf den Cluster-Port in den Firewalls einschränken
- Manager auf unerwartete Dateien in Regel-, Decoder- und Listenverzeichnissen prüfen
- Laufende Version prüfen, statt von einem Patch-Stand auszugehen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-cw26-jj8q-x7w5 github.com
- VulnCheck advisory www.vulncheck.com
- Wazuh release v4.14.8 github.com
- ACN: Available PoCs for Wazuh vulnerabilities www.acn.gov.it
- Wazuh 4.14.8 release notes documentation.wazuh.com
- Mend record CVE-2026-74043 vulners.com
- VulDB 417688 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.