Multiples vulnérabilités affectant Wazuh

Wazuh est une plateforme de sécurité open source dédiée à la détection des menaces, à la gestion des incidents et à la conformité. Elle collecte et analyse les données de sécurité issues des agents déployés sur les systèmes. Ce produit est affecté par plusieurs vulnérabilités libellées comme suit : CVE-2026-74041 (CVSS 9.1) : vulnérabilité due à une incohérence de sensibilité à la casse entre le validateur de ossec.conf et wazuh-logcollector, qui permet de contourner la validation des commandes distantes. Son exploitation permettrait à un attaquant authentifié disposant des privilèges manager:update_config d'injecter une commande LOG_FORMAT en majuscules dans un localfile, que le collecteur exécute en tant que root lors d'un rechargement. CVE-2026-74040 (CVSS 9.1) : vulnérabilité due à une écriture arbitraire de fichiers dans MasterHandler.process_files_from_worker. Son exploitation permettrait à un attaquant contrôlant un nœud worker du cluster d'écraser des fichiers protégés du nœud maître, comme ossec.conf et agent.conf, et d'obtenir une exécution de code arbitraire à distance avec les privilèges root sur le manager et sur tous les agents. CVE-2026-74043 (CVSS 9.0) : vulnérabilité résultant d'une faille de traversée de répertoires dans les fonctions de téléversement de fichiers upload_list_file, upload_rule_file et upload_decoder_file. Son exploitation permettrait à un attaquant détenant la clé du cluster d'émettre des requêtes DistributedAPI contenant des séquences ../ dans le nom de fichier, en contournant la validation du contrôleur REST, afin d'écrire des fichiers à des emplacements arbitraires en tant qu'utilisateur wazuh. CVE-2026-74034 (CVSS 7.5) : vulnérabilité résultant d'une absence de vérification de l'origine dans wm_agent_upgrade. Son exploitation permettrait à un attaquant disposant d'un agent enregistré d'émettre des commandes upgrade_custom avec un chemin de fichier qu'il contrôle, afin de lire des fichiers arbitraires en tant que root, comme /etc/shadow et client.keys. CVE-2026-74036 (CVSS 7.2) : vulnérabilité causée par une détermination de la confiance accordée aux politiques Security Configuration Assessment (SCA) fondée sur le chemin du fichier plutôt que sur la source de configuration. Son exploitation permettrait à un acteur malveillant contrôlant un manager d'écrire des fichiers de politique non signés via le canal de mise à jour et de les référencer pour exécuter des commandes en tant que root sur les agents. CVE-2026-74037 (CVSS 7.2) : vulnérabilité due à une absence d'invalidation des jetons émis pour les utilisateurs run_as dont les rôles statiques sont nuls. Son exploitation permettrait à un acteur malveillant dont les droits d'administrateur ont été révoqués de continuer à s'authentifier et de conserver un accès privilégié permanent. CVE-2026-74035 (CVSS 7.2) : vulnérabilité due au placement du garde-fou sur les comptes réservés et de la politique de mots de passe à l'intérieur d'un test de valeur non vide dans security.update_user. Son exploitation permettrait à un attaquant disposant de droits délégués d'administration des utilisateurs de soumettre un mot de passe vide au point d'accès de mise à jour, de contourner ce garde-fou pour prendre le contrôle du super-utilisateur wazuh et de s'authentifier sans identifiant. CVE-2026-74045 (CVSS 7.1) : vulnérabilité résultant d'un débordement de tampon dans le tas au sein de la fonction fim_generate_alert(), où le champ full_log est dimensionné selon les données reçues alors que son écriture est bornée par OS_MAXSTR. Son exploitation permettrait à un acteur malveillant disposant d'un agent enregistré d'émettre un événement de surveillance de l'intégrité des fichiers (FIM) spécialement conçu pour corrompre la mémoire du manager et provoquer l'arrêt du processus wazuh-analysisd, perturbant la détection sur l'ensemble du parc. CVE-2026-74047 (CVSS 6.5) : vulnérabilité de divulgation d'informations via le point d'accès de configuration des agents, non masqué. Son exploitation permettrait à un attaquant authentifié disposant de faibles privilèges (agent:read) de récupérer en clair le mot de passe d'enregistrement authd.pass, ce qui permet l'enregistrement d'agents malveillants. CVE-2026-93346 (CVSS 5.3) : vulnérabilité causée par une situation de concurrence dans la limitation des tentatives de connexion à l'API. Son exploitation permettrait à un attaquant non authentifié de contourner la protection contre les attaques par force brute et d'effectuer un nombre illimité de tentatives de connexion pour deviner le mot de passe.

• CVE-2026-74041 : Wazuh versions 4.14.3 à 4.14.7 ;
• CVE-2026-74040 : Wazuh versions 3.9.0 à 4.14.7 ;
• CVE-2026-74043 : Wazuh versions 4.1.1 à 4.14.7 ;
• CVE-2026-74034 : Wazuh versions 4.1.0 à 4.14.7 ;
• CVE-2026-74036 : Wazuh versions 4.3.0 à 4.14.7 ;
• CVE-2026-74037, CVE-2026-74047, CVE-2026-93346 : Wazuh versions 4.0.0 à 4.14.7 ;
• CVE-2026-74035 : Wazuh versions 4.6.0 à 4.14.7 ;
• CVE-2026-74045 : Wazuh versions 3.12.0 à 4.14.7.