„`html
Zusammenfassung
CVE-2026-56699 beschreibt eine kritische Schwachstelle in Wazuh Manager vor Version 5.0.0-beta3. Die Vulnerabilität ermöglicht es angemeldeten Agenten, durch unzureichende Input-Validierung beliebige NDJSON-Operationen in OpenSearch-Bulk-Anfragen einzuschleusen. Dies führt zu einer Kompromittierung der SIEM-Integrität mit kritischen Auswirkungen auf Alerting und Datenbestand.
Betroffene Systeme
Betroffen sind alle Wazuh Manager-Installationen vor Version 5.0.0-beta3. Das Schwachstellenpotential ist agnostic gegenĂĽber dem Betriebssystem, da der Fehler in der zentralen Manager-Komponente liegt. Systeme mit integrierten OpenSearch-Instanzen sind besonders kritisch.
Technische Details
Die Vulnerabilität basiert auf unzureichendem Escaping des DataValue.index-Feldes beim Konstruieren von OpenSearch-Bulk-Requests. Enrolled Agents können manipulierte Indexpfade übermitteln, die neue NDJSON-Operationen (delete, index, update) injizieren. Diese werden unter den Admin-Credentials des Managers ausgeführt.
Angriffsszenario: Ein Agent sendet Daten mit speziell formatierten Feldwerten. Der Manager behandelt diese als Teil der bulk-API, anstatt sie als Payload zu escapen. Dadurch können Shadow-Operationen ausgeführt werden, die:
- Sicherheitsrelevante Dokumente und Alerts löschen
- Audit-Logs manipulieren
- Cross-Agent-State-Ă„nderungen erzwingen
Empfohlene Massnahmen
Sofortmassnahmen:
- Agenten mit eingeschränkten Permissions betreiben
- Netzwerk-Segmentierung zwischen Manager und Agents verstärken
- OpenSearch-Audit-Logging aktivieren und intensiv monitoren
- Verdächtige Bulk-Operationen in Logs prüfen
Langfristig: Update auf Version 5.0.0-beta3 oder höher durchführen, sobald verfügbar.
Bewertung
CVSS 10.0 (Critical): Maximale Severity aufgrund von Netzwerk-Vektorisierbarkeit, fehlender Authentifizierung auf Agent-Ebene, vollständiger Kompromittierbarkeit von Confidentiality, Integrity und Availability. Die Schwachstelle erfordert dringende Mitigation und ist derzeit ohne Patch zu bewerten.
„`