Podatności Wazuh

Skrypty provisioning i Dockerfiles Wazuh zawierają podatność na niebezpieczny transport, gdzie curl jest wywoływany z flagą -k/--insecure, wyłączając walidację certyfikatów SSL/TLS. Atakujący z dostępem sieciowym mogą przeprowadzić ataki man-in-the-middle, aby przechwycić i zmodyfikować pobierane zależności lub kod podczas procesu budowania, co prowadzi do zdalnego wykonania kodu i kompromitacji łańcucha dostaw.

Wersja Wazuh 4.12.0 zawiera podatność polegającą na ekspozycji tokenu GITHUB_TOKEN w artefaktach workflow GitHub Actions. Atakujący może wykorzystać ujawniony token w ograniczonym oknie czasowym do nieautoryzowanych działań, takich jak wypychanie złośliwych commitów lub zmiana tagów wydań.

Wazuh wazuh-agent i wazuh-manager w wersjach od 2.1.0 do 4.8.0 zawierają wiele podatności na wstrzykiwanie poleceń powłoki oraz niezaufaną ścieżkę wyszukiwania, które pozwalają atakującym na wykonanie dowolnych poleceń poprzez różne komponenty, w tym konfigurację logcollector, tagi serwera SMTP maild oraz parametry skryptu Kaspersky AR. Atakujący mogą wykorzystać te podatności, wstrzykując złośliwe polecenia poprzez pliki konfiguracyjne, ustawienia serwera SMTP i niestandardowe flagi, aby osiągnąć zdalne wykonanie kodu na podatnych systemach.

W Wazuh od wersji 3.7.0 do przed 4.12.0 implementacja fim_alert() nie sprawdza, czy oldsum->md5 jest NULL, przed jego dereferencją. Przejęty agent może spowodować awarię analysisd, wysyłając specjalnie spreparowaną wiadomość do menedżera Wazuh.

W Wazuh od wersji 4.3.0 do przed 4.13.0 brak ACL na pliku „C:\Program Files (x86)\ossec-agent\authd.pass” ujawnia hasło wszystkim użytkownikom „Authenticated Users” na maszynie lokalnej. Podatność naprawiono w wersji 4.13.0.

Wazuh to projekt open source do wykrywania zagrożeń, widoczności i zgodności. W wersjach od 4.9.0 do przed 4.13.0 API Wazuh – Agent Configuration w pewnych konfiguracjach pozwala uwierzytelnionym użytkownikom z rolami API tylko do odczytu na pobranie danych uwierzytelniających rejestracji agenta poprzez endpoint /utils/configuration.

W Wazuh w wersjach przed 4.12.0 występuje błąd over-read bufora w funkcji w_expression_match(), ponieważ bufor nie jest prawidłowo zakończony znakiem NULL podczas alokacji w OS_CleanMSG(). Przejęty agent może wysłać specjalnie spreparowaną wiadomość do menedżera Wazuh, powodując odczyt poza granicami bufora i potencjalny dostęp do wrażliwych danych.

Wazuh, platforma do zapobiegania, wykrywania i reagowania na zagrożenia, w wersjach przed 4.11.0 zawiera podatność w implementacji DecodeCiscat(), która nie sprawdza wartości zwracanej przez cJSON_GetObjectItem() pod kątem możliwej wartości NULL w przypadku błędu. Skompromitowany agent może spowodować awarię analysisd, wysyłając specjalnie spreparowaną wiadomość do menedżera Wazuh. Atakujący może spowodować niedostępność analysisd.

W Wazuh przed wersją 4.11.0 implementacja fim_fetch_attributes_state() nie sprawdza, czy time_string jest NULL, przed wywołaniem na nim strlen(). Przejęty agent może spowodować awarię analysisd poprzez wysłanie specjalnie spreparowanej wiadomości do menedżera Wazuh. Atakujący mogący wysłać wiadomość agenta może doprowadzić do awarii analysisd i jego niedostępności. Podatność naprawiono w wersji 4.11.0.

W Wazuh przed wersją 4.11.0 funkcja fim_alert() nie sprawdza, czy ctime_r zwróciło NULL, przed wywołaniem na wyniku strdup(). Przejęty agent może wysłać specjalnie spreparowaną wiadomość do menedżera Wazuh i doprowadzić do awarii analysisd.

W Wazuh przed wersją 4.11.0 funkcja w_copy_event_for_log() odwołuje się do pamięci po jej zwolnieniu. Przejęty agent może wysłać specjalnie spreparowaną wiadomość do menedżera Wazuh, potencjalnie naruszając integralność aplikacji.

W Wazuh przed wersją 4.10.2 w funkcji DecodeWinevt() występuje buffer over-read przy dostępie do child_attr[p]->attributes[j] z powodu nieprawidłowego indeksu j. Przejęty agent może wysłać spreparowaną wiadomość do menedżera i wywołać odczyt poza buforem, potencjalnie ujawniając dane, jeśli włączone jest analysisd.debug=2.

Podatność w Wazuh: zapis poza granicami bufora opartego na stercie (heap-based out-of-bounds WRITE) w funkcji decode_win_permissions powoduje zapis bajtu NULL 2 bajty przed początkiem bufora przydzielonego dla decoded_it. Skompromitowany agent może wysłać specjalnie spreparowaną wiadomość do menedżera Wazuh, potencjalnie osiągając zdalne wykonanie kodu na menedżerze (wykorzystywalność zależy od konkretnego alokatora sterty).

Podatność w Wazuh w funkcji fillData(), która nie sprawdza, czy wartość jest NULL przed wywołaniem os_strdup(). Skompromitowany agent może spowodować awarię analysisd, wysyłając specjalnie spreparowaną wiadomość do menedżera Wazuh.

Wazuh w wersjach od 3.8.0 do przed 4.11.0 ma podatność w wazuh-analysisd na przepełnienie bufora sterty podczas parsowania elementów XML z komunikatów Windows EventChannel. Problem naprawiono w wersji 4.11.0.