CVE-2026-54085 in Wazuh
Tóm tắt
Bởi VulDB • 28/08/2026
Wazuh là một nền tảng bảo mật mã nguồn mở, cung cấp khả năng bảo vệ XDR và SIEM thống nhất cho các điểm cuối (endpoints) và tải trọng đám mây. Trong các phiên bản từ 4.2.0 đến 4.14.6, nhiều kịch bản phản ứng chủ động (active response scripts) chuyển các trường cảnh báo do kẻ tấn công kiểm soát sang các lệnh hệ thống có đặc quyền mà không xác thực định dạng của chúng, cho phép tiêm đối số vào các công cụ chạy với quyền root. Năm trong số tám kịch bản xử lý trường srcip là route-null.c, netsh.c, pf.c, npf.c và ipfw.c đã bỏ qua kiểm tra get_ip_version() vốn từ chối đầu vào không phải IP, còn disable-account.c chuyển trường dstuser sang passwd/chuser chỉ với một phép so sánh đối với "root". Một kẻ tấn công có thể tiêm các sự kiện nhật ký được tạo ra đặc biệt (crafted log events), ví dụ thông qua syslog, để cung cấp các giá trị srcip hoặc dstuser; khi quy tắc phản ứng chủ động kích hoạt, những giá trị này sẽ được chuyển không xác thực đến các lệnh quản lý tường lửa và tài khoản như pfctl, npfctl, ipfw, route, netsh và passwd. Điều này cho phép tiêm thêm các đối số lệnh, và trên Windows, việc nối chuỗi dòng lệnh CreateProcess không có dấu ngoặc kép trong wpopenv() khiến một srcip chứa khoảng trắng có thể bổ sung thêm các đối số khác, trong khi disable-account.c có thể bị lợi dụng để khóa tùy ý các tài khoản hệ thống. Vấn đề này đã được sửa chữa trong phiên bản 4.14.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.