CVE-2026-54085 in Wazuh
Résumé
par VulDB • 28/08/2026
Wazuh est une plateforme de sécurité open source offrant une protection unifiée XDR et SIEM pour les endpoints et les charges de travail cloud. Dans les versions 4.2.0 à 4.14.6, plusieurs scripts de réponse active transmettent des champs d'alerte influencés par l'attaquant vers des commandes système privilégiées sans en valider le format, permettant une injection d'arguments dans des outils s'exécutant avec les droits root (administrateur). Cinq des huit scripts gérant le champ srcip — route-null.c, netsh.c, pf.c, npf.c et ipfw.c — omettent la vérification get_ip_version() qui rejette normalement les entrées non-IP, tandis que disable-account.c transmet le champ dstuser à passwd/chuser avec uniquement une comparaison contre « root ». Un attaquant capable d'injecter des événements de journalisation fabriqués, par exemple via syslog, peut fournir des valeurs srcip ou dstuser qui, lorsqu'une règle de réponse active est déclenchée, sont transmises sans validation aux commandes de pare-feu et de gestion de comptes telles que pfctl, npfctl, ipfw, route, netsh et passwd. Cela permet d'injecter des arguments de commande supplémentaires ; sous Windows, la concaténation non protégée par des guillemets dans les lignes de commande CreateProcess au sein de wpopenv() permet à une valeur srcip contenant des espaces d'ajouter davantage d'arguments, tandis que disable-account.c peut être détourné pour verrouiller arbitrairement des comptes système. Ce problème est corrigé dans la version 4.14.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.