CVE-2026-54085 in Wazuh
Riassunto
di VulDB • 28/08/2026
Wazuh è una piattaforma di sicurezza open source che offre protezione unificata XDR e SIEM per endpoint e carichi di lavoro cloud. Nelle versioni dalla 4.2.0 alla 4.14.6, diversi script di active response passano campi degli alert influenzati dall'attaccante a comandi di sistema privilegiati senza validarne il formato, consentendo l'iniezione di argomenti in strumenti che vengono eseguiti con i permessi di root. Cinque degli otto script che gestiscono il campo srcip (route-null.c, netsh.c, pf.c, npf.c e ipfw.c) omettono il controllo get_ip_version() che rifiuta input non IP, mentre disable-account.c passa il campo dstuser a passwd/chuser con un solo confronto contro "root". Un attaccante in grado di iniettare eventi di log elaborati (ad esempio tramite syslog) può fornire valori srcip o dstuser che, quando viene attivata una regola di active response, vengono passati non validati ai comandi firewall e di gestione account come pfctl, npfctl, ipfw, route, netsh e passwd. Ciò consente l'iniezione di ulteriori argomenti del comando; su Windows la concatenazione della riga di comando CreateProcess senza virgolette in wpopenv() permette a un srcip contenente spazi di aggiungere ulteriori argomenti, mentre disable-account.c può essere sfruttato per bloccare account di sistema arbitrari. Questo problema è risolto nella versione 4.14.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.