Vikman90

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 3.9.0 إلى 4.14.7 **Description** توجد مشكلة في توسيع أسماء مستعارة (alias) غير منضبطة لـ YAML في مكون `yaml2json node`. يسمح هذا لسياسة يتحكم بها المدير باستنفاد ذاكرة العميل. يمكن للمهاجم الذي يتحكم في المدير دفع سياسة SCA صغيرة تحتوي على أسماء مستعارة متداخلة عبر `merged.mg` للتسبب في حالة نفاد الذاكرة (OOM)، مما يؤدي إلى إيقاف عملية `wazuh-modulesd` في كل عميل داخل المجموعة. **Recommendations** التحديث إلى الإصدار 4.14.8 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 4.1.1 إلى 4.14.7 **الوصف** توجد ثغرة traversal of path في المساعدين `delete rule file` و `delete decoder file`. يسمح هذا لعاملين خبيثين في العنقود (cluster workers) يمتلكون مفتاح العنقود بحذف ملفات عشوائية، مثل `ossec.conf` أو `client.keys` أو القواعد، عن طريق إرسال تسلسلات traversal عبر DistributedAPI من خلال معامل `filename` غير مُتحقق منه. الـ Path traversal هي تقنية تُستخدم للوصول إلى الملفات والمجلدات المخزنة خارج مجلد الجذر للموقع عن طريق التلاعب بمتغيرات مثل مسارات الملفات. **التوصيات** التحديث إلى الإصدار 4.14.8 أو أحدث. تقييد الوصول إلى المعامل `filename` داخل DistributedAPI لمنع حذف الملفات غير المصرح به.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 4.0.0 إلى 4.14.7 **Description** يسمح تجاوز تفويض بالوصول للمستخدمين المصرح لهم بصلاحيات منخفضة بقراءة كتالوج التحكم في الوصول القائم على الأدوار (RBAC). من خلال الاستعلام عن نقاط نهاية أمنية غير محمية، يمكن للمهاجمين رسم خريطة للإجراءات ونقاط النهاية ذات الصلاحيات العالية للتخطيط لتصعيد الصلاحيات. نقاط نهاية API المتأثرة هي 'GET /security/actions' و 'GET /security/resources'، والتي تتجاهل سياسات RBAC الخاصة بمقدم الطلب. **Recommendations** تحديث Wazuh إلى الإصدار 4.14.8 أو أحدث. تقييد الوصول إلى نقاط النهاية 'GET /security/actions' و 'GET /security/resources' لتقليل مخاطر الاستغلال.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh versions 4.1.1 through 4.14.7 **Description** توجد ثغرة traversal path في معالجات قائمة CDB ضمن الدالتين `get lists()` و `delete list file()`. يسمح هذا لعمال العنقود (cluster workers) المخترقين بقراءة أو حذف الملفات الرئيسية عن طريق إرسال أسماء ملفات ذات مسارات مطلقة أو مسارات traversal عبر مسار RPC الداخلي للعنقود، مما يتجاوز التحقق من REST والتحكم في الوصول القائم على الأدوار (RBAC). ومن الأمثلة على الملفات المستهدفة `rbac.db`. **Recommendations** تحديث Wazuh إلى الإصدار 4.14.8 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 4.1.0 إلى 4.14.7 **الوصف** يوجد نقص في التحقق من الأصل في الدالة `wm agent upgrade` مما يسمح للوكلاء المسجلين بإصدار أوامر `upgrade custom` باستخدام متغير `file path` الذي يتحكم فيه المهاجم. يتيح ذلك للمهاجمين حقن رسالة `upgrade custom` عبر قناة الوكيل لقراءة ملفات عشوائية بصلاحيات root، مما قد يؤدي إلى تسريب ملفات حساسة مثل `/etc/shadow` و `client.keys`. **التوصيات** التحديث إلى الإصدار 4.14.8 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 4.6.0 إلى 4.14.7 **Description** يوجد خلل في تجاوز المصادقة لأن الدالة `security.update user` تضع حارس المستخدم المحجوز وسياسة كلمة المرور داخل فحص قيمة منطقية خاطئة (falsy truthiness check). يتيح ذلك لمدير مستخدم مفوض إرسال كلمة مرور فارغة إلى نقطة نهاية تحديث المستخدم، مما يؤدي إلى تجاوز حارس المستخدم المحجوز للاستيلاء على حساب المستخدم الخارق (superuser) في Wazuh والمصادقة باستخدام بيانات اعتماد فارغة. **Recommendations** تحديث Wazuh إلى الإصدار 4.14.8 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات 4.3.0 through 4.14.7 **Description** توجد ثغرة تنفيذ عن بُعد للكود حيث يتم تحديد الثقة في سياسات تقييم تكوين الأمان (SCA) بناءً على مسار الملف بدلاً من مصدر التكوين. يمكن للمهاجم الذي يتحكم في المدير كتابة ملفات سياسة غير موقعة في دليل `var/incoming` عبر قناة الترقية والإشارة إليها لتنفيذ فحوصات أوامر بصلاحيات root على الوكلاء. **Recommendations** التحديث إلى الإصدار 4.14.8 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 4.0.0 إلى 4.14.7 **الوصف** يفشل البرنامج في إبطال الرموز (tokens) الصادرة لمستخدمي run as الذين ليس لديهم أدوار ثابتة، وذلك لأن الدالة `check token()` لا تراجع القائمة السوداء. نتيجة لذلك، يمكن للمهاجمين الذين تم سحب صلاحيات المسؤول منهم الاستمرار في المصادقة وربط دور المسؤول بأنفسهم للاحتفاظ بالوصول المميز بشكل دائم. **التوصيات** التحديث إلى الإصدار 4.14.8 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 3.9.0 إلى 4.14.7 **Description** توجد ثغرة تسمح بالكتابة فوق الملفات بشكل تعسفي في الدالة `MasterHandler.process files from worker()`. يمكن لعامل عنقود (cluster worker) مخترق تجاوز الحماية باستخدام تجاوز اسم الملف الأساسي (basename bypass) عبر الشرطة المائلة النهائية وغياب فرض `extra valid` للكتابة فوق ملفات الماستر المحمية، وتحديداً `ossec.conf` و `agent.conf`. يؤدي ذلك إلى تنفيذ رموز عن بُعد بصلاحيات الجذر (root) عبر المدير وجميع الوكلاء المرتبطين. يتطلب الاستغلال مفتاح عنقود أو وصولاً مميزاً إلى واجهة برمجة التطبيقات (API). **Recommendations** التحديث إلى الإصدار 4.14.8.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 4.14.3 إلى 4.14.7 **Description** يوجد تعارض في حساسية حالة الأحرف بين مصادق ossec.conf و wazuh-logcollector، مما يسمح بتجاوز التحقق من الأوامر عن بُعد. يمكن للمستخدمين المصرح لهم الذين يمتلكون صلاحية `manager:update config` حقن أمر `LOG FORMAT` بأحرف كبيرة `localfile` يقوم المجمع بتنفيذه بصلاحيات root عند إعادة التحميل. **Recommendations** التحديث إلى الإصدار 4.14.8.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 4.1.1 إلى 4.14.7 **Description** توجد ثغرة traversal path في الدوال `upload list file` و `upload rule file` و `upload decoder file`. يمكن للمهاجمين الذين يمتلكون مفتاح العنقود (cluster key) إرسال طلبات DistributedAPI تحتوي على تسلسلات `../` في المتغير `filename` لتجاوز عملية التحقق من وحدة تحكم REST. يسمح هذا لعمال العنقود الخبيثين بكتابة ملفات في مسارات عشوائية بصلاحيات مستخدم wazuh. الـ Path traversal هي تقنية تُستخدم للوصول إلى الملفات والمجلدات المخزنة خارج مجلد الجذر للموقع. **Recommendations** التحديث إلى الإصدار 4.14.8 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 3.12.0 إلى 4.14.7 **Description** يوجد تجاوز في ذاكرة التخزين المؤقت للكومة (heap buffer overflow) في الدالة `fim generate alert()`. تحدث المشكلة لأن المتغير `full log` يتم تحديد حجمه بناءً على المدخلات ولكن يتم كتابته بحدود يحددها `OS MAXSTR`. يمكن لوكيل مسجل استغلال ذلك عن طريق إرسال حدث FIM syscheck مصمم خصيصاً لإتلاف ذاكرة كومة المدير، مما يؤدي إلى تعطل حتمي لعملية `wazuh-analysisd` وتسبب انقطاع في الكشف على مستوى الأسطول بالكامل. **Recommendations** التحديث إلى الإصدار 4.14.8 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 4.0.0 إلى 4.14.7 **Description** توجد ثغرة كشف معلومات تسمح للمستخدمين ذوي الصلاحيات المنخفضة الذين يمتلكون صلاحية `agent:read` باسترداد كلمة مرور التسجيل `authd.pass` بنص واضح. يحدث هذا عبر نقطة نهاية تكوين الوكيل غير المقنعة. يمكن للمهاجمين الذين لديهم دور القراءة فقط (readonly) الافتراضي طلب تكوين مكون المصادقة لمعرف الوكيل الوهمي `000` للحصول على السر، مما قد يسمح بتسجيل وكلاء مارقين ضد المدير. **Recommendations** التحديث إلى الإصدار 4.14.8 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh versions 4.0.0 through 4.14.7 **Description** توجد حالة سباق (race condition) في آلية تقييد تسجيل الدخول إلى واجهة برمجة التطبيقات (API). يسمح هذا للمهاجمين غير المصرح لهم بتجاوز حد `max login attempts` عن طريق إرسال طلبات متزامنة. من خلال إرسال دفعات من محاولات تسجيل الدخول المتزامنة إلى نقاط النهاية 'authenticate' و 'run as'، يمكن للمهاجم اجتياز فحص الحظر قبل تسجيل الإخفاقات السابقة، مما يتيح تخمين كلمات المرور بشكل غير محدود. **Recommendations** تحديث Wazuh إلى الإصدار 4.14.8 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh versions 4.1.1 through 4.14.7 **Description** توجد ثغرة traversal path في المساعد `get list file`. يسمح هذا لعمال العنقود (cluster workers) الخبيثين الذين يمتلكون مفتاح العنقود بقراءة ملفات عشوائية عن طريق تقديم قيم أسماء ملفات غير مفحوصة من خلال طلبات DistributedAPI. يمكن أن يؤدي ذلك إلى كشف ملفات حساسة مثل `client.keys` و `ossec.conf`. **Recommendations** التحديث إلى الإصدار 4.14.8 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Wazuh من 4.0.0 إلى 4.14.5 **الوصف** توجد مشكلة تسمح لأقران المجموعة (cluster peers) المصادق عليهم بحذف محتويات عشوائية من الدلائل الموجودة ضمن مسار التثبيت الذي يمكن لمستخدم wazuh الكتابة فيه. ويحدث ذلك لأن النظام يفشل في التحقق من صحة اسم العقدة المقدم في حمولة ”hello“ الخاصة بالمجموعة. يمكن للمهاجم الذي يمتلك مفتاح Fernet صالحًا للمجموعة تقديم اسم عقدة على شكل اجتياز المسار ثم قطع الاتصال، مما يؤدي إلى تشغيل روتين تنظيف الأقران الخاص بالماستر لإزالة الدلائل المحددة. اجتياز المسار هو تقنية تُستخدم للوصول إلى الملفات أو الدلائل خارج المجلد المقصود باستخدام أحرف خاصة مثل النقطتين والشرطة المائلة. **التوصيات** تحديث Wazuh إلى الإصدار 4.14.6 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Wazuh wazuh-modulesd الإصدارات السابقة لـ 5.0.0-beta3 **الوصف** تحدث عملية إزالة مرجعية مؤشر فارغ (null pointer dereference) أثناء معالجة قيمة البيانات (DataValue) في FlatBuffer ضمن وظيفة `inventory sync`. يمكن لوكيل مسجل أن يتسبب في حدوث هجوم رفض الخدمة عن طريق إرسال رسالة DataValue صالحة من وجهة نظر أداة التحقق (verifier-valid) تتجاهل الحقل الاختياري `id`. ويؤدي ذلك إلى تعطل عملية `wazuh-modulesd` عند محاولتها استدعاء `data->id()->string view()` دون إجراء التحقق من عدم وجود قيمة. **التوصيات** تحديث wazuh-modulesd إلى الإصدار 5.0.0-beta3 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Wazuh (لم يتم تحديد الإصدارات المتأثرة) **الوصف** يحتوي البرنامج على ثغرة أمنية في عملية النقل ناتجة عن استخدام العلامة `-k` أو `--insecure` مع الأداة `curl`، مما يؤدي إلى تعطيل التحقق من صحة شهادات SSL/TLS. وهذا يسمح للمهاجمين الذين لديهم وصول إلى الشبكة بشن هجمات «الرجل في الوسط» (man-in-the-middle)، مما قد يؤدي إلى اعتراض وتعديل التبعيات أو الكود الذي يتم تنزيله أثناء عملية البناء. وقد يؤدي الاستغلال الناجح لهذه الثغرة إلى تنفيذ كود عن بُعد وتعريض سلسلة التوريد للخطر. المكون المعرض للخطر هو الأمر `curl` المستخدم ضمن نصوص التجهيز (provisioning scripts) وملفات Dockerfile. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Wazuh الإصدار 4.12.0 **الوصف** يوجد في الإصدار 4.12.0 من Wazuh مشكلة تسمح باستخراج `GITHUB TOKEN` من الملفات التي تم تحميلها في سير عمل GitHub Actions. وهذا يتيح للمهاجمين إمكانية تنفيذ إجراءات غير مصرح بها، مثل إرسال التزامات برمجية ضارة أو تغيير علامات الإصدار، خلال فترة زمنية محدودة. **التوصيات** في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.