CVE-2026-54085 in Wazuh
Sumário
de VulDB • 28/08/2026
O Wazuh é uma plataforma de segurança open-source que fornece proteção unificada XDR e SIEM para endpoints e cargas de trabalho em nuvem. Nas versões 4.2.0 a 4.14.6, vários scripts de resposta ativa passam campos de alerta influenciados pelo atacante para comandos do sistema privilegiados sem validar seu formato, permitindo injeção de argumentos em ferramentas que são executadas como root. Cinco dos oito scripts que lidam com o campo srcip (route-null.c, netsh.c, pf.c, npf.c e ipfw.c) omitem a verificação get_ip_version(), que rejeita entradas não-IP, e disable-account.c passa o campo dstuser para passwd/chuser apenas com uma comparação contra "root". Um atacante capaz de injetar eventos de log manipulados (por exemplo, via syslog) pode fornecer valores srcip ou dstuser que, quando uma regra de resposta ativa é acionada, são passados sem validação para comandos de firewall e gerenciamento de conta como pfctl, npfctl, ipfw, route, netsh e passwd. Isso permite injetar argumentos adicionais de comando; no Windows, a concatenação da linha de comando do CreateProcess não entre aspas em wpopenv() permite que um srcip contendo espaços adicione mais argumentos, enquanto disable-account.c pode ser explorado para bloquear contas arbitrárias do sistema. Este problema é corrigido na versão 4.14.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.