CVE-2026-54085
Publiée le 2026-08-28 · Dernière modification le 2026-09-15
Les serveurs Wazuh (versions 4.2.0 à 4.14.6) sont concernés s'ils utilisent des scripts de réponse active spécifiques pour automatiser des actions sur le pare-feu ou les comptes utilisateurs. Un attaquant capable d'envoyer des événements de journalisation forgés, par exemple via syslog, peut injecter des arguments malveillants dans des commandes système exécutées avec les privilèges root afin de verrouiller des comptes arbitraires ou de modifier les règles du pare-feu. Cela nécessite un accès réseau et la capacité de générer des journaux déclenchant ces réponses, mais ne requiert aucune interaction directe avec le tableau de bord Wazuh.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Wazuh is an open-source security platform providing unified XDR and SIEM protection for endpoints and cloud workloads. In versions 4.2.0 through 4.14.6, multiple active response scripts pass attacker-influenced alert fields to privileged system commands without validating their format, allowing argument injection into tools that run as root. Five of the eight scripts that handle the srcip field, route-null.c, netsh.c, pf.c, npf.c, and ipfw.c, omit the get_ip_version() check that rejects non-IP input, and disable-account.c passes the dstuser field to passwd/chuser with only a comparison against "root". An attacker who can inject crafted log events, for example via syslog, can supply srcip or dstuser values that, when an active response rule triggers, are passed unvalidated to firewall and account-management commands such as pfctl, npfctl, ipfw, route, netsh, and passwd. This enables injecting additional command arguments, and on Windows the unquoted CreateProcess command-line concatenation in wpopenv() lets a srcip containing spaces add further arguments, while disable-account.c can be abused to lock arbitrary system accounts. This issue is fixed in version 4.14.7.