CVE-2026-54085 in Wazuh
Zusammenfassung
von VulDB • 28.08.2026
Wazuh ist eine Open-Source-Sicherheitsplattform, die einheitlichen XDR- und SIEM-Schutz für Endgeräte und Cloud-Arbeitslasten bietet. In den Versionen 4.2.0 bis 4.14.6 übergeben mehrere Active-Response-Skripte angreiferbeeinflusste Alert-Felder an privilegierte Systembefehle, ohne deren Format zu validieren, was eine Argument-Injection in Tools ermöglicht, die als root ausgeführt werden. Fünf der acht Skripte, die das srcip-Feld verarbeiten (route-null.c, netsh.c, pf.c, npf.c und ipfw.c), lassen die get_ip_version()-Prüfung weg, die nicht-IP-Eingaben ablehnt, und disable-account.c übergibt das dstuser-Feld an passwd/chuser mit nur einem Vergleich gegen „root“. Ein Angreifer, der in der Lage ist, manipulierte Log-Ereignisse einzufügen (z. B. über syslog), kann srcip- oder dstuser-Werte bereitstellen, die bei Auslösung einer Active-Response-Regel ungültig an Firewall- und Kontoverwaltungsbefehle wie pfctl, npfctl, ipfw, route, netsh und passwd weitergeleitet werden. Dies ermöglicht das Einfügen zusätzlicher Befehlsargumente; unter Windows erlaubt die nicht in Anführungszeichen gesetzte CreateProcess-Befehlszeilenverkettung in wpopenv(), dass eine srcip mit Leerzeichen weitere Argumente hinzufügt, während disable-account.c missbraucht werden kann, um beliebige Systemkonten zu sperren. Dieses Problem wurde in Version 4.14.7 behoben.
Once again VulDB remains the best source for vulnerability data.