Impatto Sistemico

Critico (78.33)

Sintesi

Rilasciati aggiornamenti di sicurezza che risolvono diverse nuove vulnerabilità in Wazuh, di cui 3 con gravità “critica” e 5 con gravità “alta”. Per le CVE-2026-74035, CVE-2026-74036, CVE-2026-74037, CVE-2026-74040, CVE-2026-74041, CVE-2026-74043 e CVE-2026-74045 risulta disponibile un Proof of Concept (PoC) in rete.

Tipologia

• Arbitrary File Write
• Authentication Bypass
• Information Disclosure
• Security Feature Bypass
• Remote Code Execution
• Denial of Service

Descrizione e potenziali impatti

La vulnerabilità identificata tramite la CVE-2026-74035 – di tipo “Incorrect Authorization” e con CVSS 3.1 pari a 7.2 – interessa Wazuh Manager ed è dovuta a un’errata gestione dei controlli di sicurezza nella funzione security.update_user , in cui la verifica relativa agli utenti riservati e l’applicazione della politica delle password vengono eseguite esclusivamente quando il valore della password risulta valorizzato. Un attaccante autenticato, dotato di opportuni privilegi sulla gestione degli utenti, potrebbe sfruttare tale vulnerabilità inviando una richiesta di aggiornamento contenente una password vuota, al fine di aggirare i controlli previsti, assumere il controllo dell’account superuser di Wazuh e autenticarsi utilizzando credenziali prive di password.

La vulnerabilità identificata tramite la CVE-2026-74036 – di tipo “Incorrect Authorization” e con CVSS 3.1 pari a 7.2 – interessa Wazuh Agent ed è dovuta ad una gestione non adeguata dei parametri forniti in input dall’utente, che determina l’errata classificazione come attendibili delle politiche SCA collocate fuori dalla directory di configurazione condivisa. Un attaccante in grado di controllare il manager potrebbe sfruttare tale vulnerabilità per distribuire file opportunamente predisposti agli agent interessati al fine di eseguire comandi di sistema con privilegi di root .

La vulnerabilità identificata tramite la CVE-2026-74037 – di tipo “Insufficient Session Expiration” e con CVSS 3.1 pari a 7.2 – interessa Wazuh Manager ed è dovuta ad una gestione non adeguata dei parametri forniti in input durante la verifica dei token associati agli utenti con ruoli assegnati dinamicamente. Un attaccante remoto autenticato potrebbe sfruttare tale vulnerabilità per continuare a utilizzare un token privilegiato dopo la revoca delle autorizzazioni al fine di assegnare stabilmente al proprio account il ruolo di amministratore ed elevare i propri privilegi.

La vulnerabilità identificata tramite la CVE-2026-74040 – di tipo “Missing Authorization” e con CVSS 3.1 pari a 9.1 – è presente in Wazuh Manager ed è dovuta a un’errata validazione di parametri di input durante l’elaborazione dei file inviati da un nodo del cluster. Un attaccante in grado di controllare tale nodo potrebbe sfruttare la vulnerabilità per inviare file opportunamente predisposti al nodo principale al fine di sovrascrivere file arbitrari, alterare configurazioni e contenuti di rilevamento, eseguire codice remoto con privilegi di root e propagare configurazioni malevole agli agent gestiti.

La vulnerabilità identificata tramite la CVE-2026-74041 – di tipo “Improper Handling of Case Sensitivity” e con CVSS 3.1 pari a 9.1 – presente in Wazuh Manager , è dovuta ad una validazione non adeguata dell’input utente causata dalla diversa gestione delle lettere maiuscole e minuscole tra il componente di verifica della configurazione e quello incaricato di eseguirla. Un attaccante remoto autenticato, con i permessi necessari per aggiornare la configurazione, potrebbe sfruttare tale vulnerabilità per inviare file opportunamente predisposti al sistema interessato al fine di eludere i controlli sui comandi remoti, eseguire comandi di sistema ed elevare i privilegi utente a root .

La vulnerabilità identificata tramite la CVE-2026-74043 – di tipo “Improper Limitation of a Pathname to a Restricted Directory” e con CVSS 3.1 pari a 9.0 – interessa Wazuh Manager ed è dovuta ad un’errata validazione dei parametri di input nelle funzioni di caricamento richiamabili dal cluster, in cui il nome del file non viene verificato nel livello applicativo interno. Un attaccante in grado di controllare un nodo del cluster potrebbe sfruttare tale vulnerabilità per inviare file opportunamente predisposti al nodo principale al fine di scrivere o sostituire file arbitrari nei percorsi accessibili all’utente di servizio Wazuh .

La vulnerabilità identificata tramite la CVE-2026-74045 – di tipo “Heap-based Buffer Overflow” e con CVSS 3.1 pari a 7.1 – interessa il componente wazuh-analysisd di Wazuh Manager ed è dovuta ad una gestione non adeguata dei parametri forniti in input dall’utente, che determina una scrittura oltre i limiti della memoria allocata durante la generazione degli avvisi FIM. Un attaccante in possesso delle credenziali di un agente registrato potrebbe sfruttare tale vulnerabilità per inviare richieste opportunamente predisposte al gestore interessato al fine di corrompere la memoria del processo wazuh-analysisd e comprometterne la disponibilità del servizio sui sistemi interessati, interrompendo la generazione degli avvisi per l’intera infrastruttura.

Prodotti e/o versioni affette

wazuh, dalla versione 3.9.0 alla 4.14.7

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni dei relativi bollettini di sicurezza riportati nella sezione Riferimenti.

Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “critica” e “alta”: