Impatto Sistemico

Critico (77.94)

Sintesi

Disponibili Proof of Concept (PoC) per lo sfruttamento di 8 vulnerabilità, di cui 5 con gravità “alta”, che interessano Wazuh, piattaforma open source con funzionalità di Security Information and Event Management (SIEM) e Extended Detection and Response (XDR), e i relativi Wazuh Dashboard Plugins.

Tipologia

• Arbitrary Code Execution
• Authentication Bypass
• Security Restrictions Bypass
• Information Disclosure
• Denial of Service
• Spoofing

Descrizione e potenziali impatti

Sono stati resi pubblici diversi Proof of Concept (PoC) relativi a 8 nuove vulnerabilità – già sanate dal vendor – che interessano Wazuh e Wazuh Dashboard Plugins. Di seguito sono riportati i dettagli relativi alle vulnerabilità:

La vulnerabilità CVE-2026-112340 – di tipo “Authorization Header Override” e con score CVSS v4.0 pari a 8.8 – è dovuta a controlli non adeguati sull’header Authorization gestito dall’endpoint /api/request dei plugin Dashboard di Wazuh. Un utente autenticato, mediante richieste opportunamente predisposte, potrebbe sovrascrivere il token Bearer associato alla sessione gestita dal server e indurre il proxy a utilizzare credenziali differenti nelle richieste verso la Manager API, consentendo di operare come un’altra identità della Manager API oppure di effettuare richieste upstream prive di autenticazione.

La vulnerabilità CVE-2026-112339 – di tipo “Missing TLS Hostname Verification” e con score CVSS v4.0 pari a 8.2 – è causata dalla mancata verifica dell’hostname del certificato TLS nel modulo fluent-forward di Wazuh. Un attaccante remoto, in grado di reindirizzare la connessione verso un host controllato mediante tecniche quali DNS spoofing, ARP spoofing o attacchi on-path , potrebbe presentare un certificato valido emesso da una CA considerata affidabile dal sistema target ed impersonare il collector Fluentd , ottenendo l’accesso ai dati di telemetria inoltrati e al parametro di autenticazione shared_key_hexdigest , potenzialmente utilizzabile per attività di offline cracking .

La vulnerabilità CVE-2026-112338 – di tipo “Server-Side Request Forgery” e con score CVSS v4.0 pari a 8.2 – è dovuta a meccanismi di sicurezza non adeguati degli URL di paginazione Link rel="next" gestiti dal modulo GitHub di Wazuh. Un attaccante in grado di controllare il valore dell’URL di paginazione potrebbe indurre il Manager a inviare richieste HTTP verso host sotto il proprio controllo utilizzando il token di autenticazione dell’API GitHub configurato sul sistema target, consentendo l’accesso a repository e impostazioni GitHub associate a tale account.

La vulnerabilità CVE-2026-112341 – di tipo “SQL Injection” e con score CVSS v4.0 pari a 7.1 – è causata da una gestione non adeguata della sostituzione dei parametri nella funzione WazuhDBBackend._substitute_params , che può determinare condizioni di contaminazione tra placeholder durante la costruzione delle query SQL. Un utente autenticato in possesso del permesso agent:read su almeno un agent, mediante valori opportunamente predisposti nei parametri q e search , potrebbe eseguire query SQL arbitrarie e ottenere l’accesso a informazioni sensibili presenti nel database del Manager, incluse le internal_key associate agli agent registrati.

La vulnerabilità CVE-2026-112336 – di tipo “Memory Leak DoS” e con score CVSS v4.0 pari a 7.1 – è dovuta a un mancato rilascio della memoria nel decoder JSON di Wazuh in presenza di eventi contenenti campi statici duplicati. Un attaccante remoto, mediante l’invio di eventi JSON opportunamente predisposti attraverso un agent registrato, potrebbe causare una crescita incontrollata dell’utilizzo di memoria del processo wazuh-analysisd fino al suo arresto, compromettendo la disponibilità del servizio di analisi degli eventi, con conseguente interruzione della generazione degli alert sui sistemi interessati.

La vulnerabilità CVE-2026-112334 – di tipo “Out-of-Bounds Write” e con score CVSS v4.0 pari a 6.9 – è dovuta a meccanismi di controllo non adeguati sul numero di comandi caricati dal file di configurazione ar.conf nel componente wazuh-execd . Un attaccante in grado di modificare la configurazione delle funzionalità di Active Response del Manager potrebbe causare scritture oltre i limiti degli array utilizzati dalla funzione ReadExecConfig() , determinando la corruzione della memoria del processo interessato e l’arresto delle funzionalità di Active Response sui sistemi target.

La vulnerabilità CVE-2026-112335 – di tipo “Stack Buffer Overflow” e con score CVSS v4.0 pari a 6.8 – è dovuta a un calcolo non corretto dello spazio residuo disponibile nella funzione read_snortfull() utilizzata dal componente logcollector di Wazuh per l’elaborazione dei log in formato snort-full . Un attaccante in grado di scrivere contenuti opportunamente predisposti all’interno di un file di log monitorato potrebbe causare una scrittura oltre i limiti di un buffer allocato nello stack, determinando l’arresto del processo interessato oppure, in particolari configurazioni, l’esecuzione di codice arbitrario sui sistemi target.

La vulnerabilità CVE-2026-112337 – di tipo “Server-Side Request Forgery” e con score CVSS v4.0 pari a 6.3 – è dovuta alla validazione non adeguata del parametro @odata.nextLink gestito dalla funzione get_graph_events() del modulo Azure di Wazuh. Un attaccante in grado di influenzare il valore di tale parametro potrebbe indurre il Manager a inviare richieste HTTP verso host sotto il proprio controllo, inoltrando il token di autenticazione Bearer utilizzato per l’accesso a Microsoft Graph e consentendo l’accesso non autorizzato alle risorse associate a tale account oppure il raggiungimento di servizi interni accessibili dal sistema interessato.

Prodotti e/o versioni affette

• Wazuh, versioni precedenti alla 4.14.9
• Wazuh Dashboard Plugins, versioni dalla 4.9.0 alla 4.14.9 (esclusa)

Azioni di mitigazione

Ove non già provveduto, si raccomanda di aggiornare tempestivamente i software vulnerabili all’ultima versione disponibile.