Descripción
Las versiones de Wazuh desde la 3.9.0 y anteriores a la 4.14.8 contienen una vulnerabilidad de sobrescritura arbitraria de archivos en MasterHandler.process_files_from_worker que permite a un worker del clúster sobrescribir archivos protegidos del nodo maestro. Los atacantes que controlen un worker pueden usar una omisión basada en una barra final en el nombre base y la falta de aplicación de extra_valid para sobrescribir ossec.conf y agent.conf, logrando ejecución remota de código (RCE) como root en el manager y en todos los agentes.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- wazuh-manager Afectadas: 3.9.0 y anteriores a 4.14.8 No afectadas: 4.14.8
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/wazuh/wazuh/security/advisories/GHSA-88p6-7cm8-xwj8
- Parchegithub.com/wazuh/wazuh/releases/tag/v4.14.8
- Aviso de vulncheck.comvulncheck.com/advisories/wazuh-3.9.0-before-4.14.8-arbitrary-file-ove…
Ver el texto original en inglés (CVE.org)
Wazuh 3.9.0 before 4.14.8 Arbitrary File Overwrite RCE via process_files_from_worker
Wazuh versions from 3.9.0 before 4.14.8 contain an arbitrary file overwrite vulnerability in MasterHandler.process_files_from_worker allowing a cluster worker to overwrite protected master files. Attackers controlling a worker can use a trailing-slash basename bypass and missing extra_valid enforcement to overwrite ossec.conf and agent.conf, achieving root remote code execution across the manager and every agent.