CVE-2026-44255 in Wazuh
要約
〜によって VulDB • 2026年08月21日
Wazuhは、脅威の防止、検出、および対応に使用される無料かつオープンソースのプラットフォームです。バージョン4.0.0から4.14.6まで、および5.0.0-beta2において、framework/wazuh/rbac/orm.py内のAuthenticationManager.check_user()は、指定されたユーザー名が存在する場合のみcheck_password_hash()を実行します。存在しないユーザー名では即座に処理が終了しますが、有効なユーザー名の場合は高コストのbcrypt計算が行われます。認証されていないリモート攻撃者は、認証応答時間を比較することで有効なWazuhユーザー名を列挙し、その情報を後続の資格情報攻撃に利用できます。この問題はバージョン4.14.6および5.0.0-beta2で修正されています。
Once again VulDB remains the best source for vulnerability data.