Multiples vulnérabilités affectant Wazuh

Origine : bjCSIRT

Numéro : 2026/ALERTE/122

APERÇU :

De multiples vulnérabilités ont été découvertes dans Wazuh, permettant à un acteur malveillant d’exécuter du code arbitraire à distance, d‘accéder à des informations sensibles, de contourner les mécanismes d’authentification et d’élever ses privilèges.

DESCRIPTION :

Wazuh est une plateforme de sécurité open source conçue pour la détection des menaces, la gestion des incidents et la conformité. Elle collecte et analyse les données de sécurité des agents déployés sur les systèmes.

Ce produit est affecté par plusieurs vulnérabilités libellées comme suit :

CVE-2026-74041 (CVSS 9.1) : Cette vulnérabilité est due à une incohérence de sensibilité à la casse entre le validateur ossec.conf et wazuh-logcollector, contournant la validation des commandes à distance. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié avec les privilèges manager:update_config d’injecter une commande LOG_FORMAT en majuscules dans un localfile que le collecteur exécuterait en tant que root lors d’un rechargement.

CVE-2026-74040 (CVSS 9.1) : Cette vulnérabilité est due à une écriture de fichier arbitraire dans MasterHandler.process_files_from_worker. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant contrôlant un nœud worker du cluster d’écraser des fichiers maîtres protégés, tels que ossec.conf et agent.conf, et d’obtenir l’exécution de code arbitraire à distance avec les privilèges root sur le gestionnaire et tous les agents.

CVE-2026-74043 (CVSS 9.0) : Cette vulnérabilité découle d’une faille de traversée de chemin dans les fonctions d’envoi de fichiers upload_list_file, upload_rule_file et upload_decoder_file. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant détenant la clé du cluster d’émettre des requêtes DistributedAPI comportant des séquences ../ dans le nom de fichier, contournant la validation du contrôleur REST, afin d’écrire des fichiers à des emplacements arbitraires en tant qu’utilisateur Wazuh.

CVE-2026-74034 (CVSS 7.5) : Cette vulnérabilité découle d’une absence de vérification d’origine dans wm_agent_upgrade. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant disposant d’un agent enregistré d’émettre des commandes upgrade_custom avec un chemin de fichier qu’il contrôle pour lire des fichiers arbitraires en tant que root, tels que /etc/shadow et client.keys.

CVE-2026-74036 (CVSS 7.2) : Cette vulnérabilité est causée par une détermination de la confiance des politiques SCA (Security Configuration Assessment) basée sur le chemin du fichier plutôt que sur la source de la configuration. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant contrôlant un gestionnaire d’écrire des fichiers de politique non signés via le canal de mise à jour et de les référencer pour exécuter des commandes en tant que root sur les agents.

CVE-2026-74037 (CVSS 7.2) : Cette vulnérabilité est due à un échec d’invalidation des jetons émis pour les utilisateurs run_as avec des rôles statiques nuls. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant dont les droits d’administrateur ont été révoqués de continuer à s’authentifier et de conserver un accès privilégié permanent.

CVE-2026-74035 (CVSS 7.2) : Cette vulnérabilité est due au placement du garde-fou sur les comptes réservés et de la politique de mot de passe à l’intérieur d’un test de valeur non vide dans security.update_user. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant disposant de droits délégués d’administration des utilisateurs de soumettre un mot de passe vide au point de terminaison de mise à jour, de contourner ce garde-fou pour prendre le contrôle du compte superutilisateur wazuh et de s’authentifier sans identifiant.

CVE-2026-74045 (CVSS 7.1) : Cette vulnérabilité résulte d’un dépassement de tampon dans le tas au sein de la fonction fim_generate_alert(), où le champ full_log est dimensionné d’après les données reçues alors que son écriture est bornée par OS_MAXSTR. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant disposant d’un agent enregistré d’émettre un événement de surveillance d’intégrité des fichiers (FIM) spécialement conçu pour corrompre la mémoire du gestionnaire et provoquer l’arrêt du processus wazuh-analysisd, interrompant la détection sur l’ensemble du parc.

CVE-2026-74047 (CVSS 6.5) : Cette vulnérabilité résulte d’une divulgation d’informations via le point de terminaison de configuration d’agent non masqué. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié avec des privilèges faibles (agent:read) de récupérer le mot de passe d’inscription authd.pass en texte clair, permettant l’inscription d’agents malveillants.

CVE-2026-93346 (CVSS 5.3) : Cette vulnérabilité est due à une condition de concurrence dans la limitation des tentatives de connexion à l’API. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant non authentifié de contourner la protection contre les attaques par force brute et d’effectuer un nombre illimité de tentatives de connexion pour deviner le mot de passe.

IMPACT