Vikman90

Um problema de gravação fora dos limites existe no componente `wazuh-execd`. Atacantes privilegiados com acesso à configuração do gerente podem corromper a memória do processo root fornecendo entradas excessivas em `ar.conf`. Especificamente, ao controlar os blocos de resposta ativa no `ossec.conf`, um atacante pode enviar mais de 64 comandos para os agentes, o que estoura os arrays na função `ReadExecConfig()` e causa a falha generalizada do sistema de Resposta Ativa.

Um estouro de buffer baseado em pilha ocorre no leitor de log snort-full do logcollector devido a um erro de cálculo do espaço restante no buffer na função `read snortfull()`. Um invasor pode desencadear isso escrevendo conteúdo multilinha especialmente criado em um log snort-full monitorado, o que pode estourar o buffer de pilha de 65.280 bytes. Isso pode resultar no travamento do agente ou na sobrescrita de um Structured Exception Handler (SEH)—um mecanismo usado para lidar com erros de software—em agentes Windows de 32 bits operando com privilégios de SYSTEM.

Existe um vazamento de memória no decodificador JSON genérico. Atacantes remotos podem esgotar a memória do processo `wazuh-analysisd` enviando eventos que contenham campos estáticos repetidos, como `id`. Isso pode ser feito ao registrar um agente por meio de registro sem senha, resultando em um encerramento por falta de memória (OOM kill), o que desativa a função de alerta.

Um problema de server-side request forgery existe na função `get graph events()` do Azure wodle. A função segue a variável `@odata.nextLink` sem realizar a validação de host ou HTTPS. Isso permite que atacantes que consigam influenciar o valor de `@odata.nextLink` redirecionem as requisições do gerente para endpoints sob seu controle, permitindo a captura do token bearer do Microsoft Graph reutilizado e o acesso a serviços internos.

Um problema de server-side request forgery (SSRF) existe no módulo GitHub (wm github.c). O sistema confia em URLs de paginação Link rel="next" não validadas, permitindo que um invasor que controle a URL da próxima página force o gerente a enviar requisições contendo o token da API do GitHub para hosts externos. Isso pode levar à exposição de repositórios e configurações da organização.

O módulo fluent-forward contém uma falha na função `wm fluent ssl ctx()` devido à ausência de verificação de nome de host TLS. Isso permite que um invasor de rede se passe por um coletor Fluentd apresentando qualquer certificado encadeado ao `ca file` configurado. Ao redirecionar a conexão via DNS, ARP ou posições on-path, um invasor pode receber a telemetria de segurança encaminhada e o `shared key hexdigest` para quebra offline.

Um problema de execução remota de código existe onde a confiança nas políticas de Security Configuration Assessment (SCA) é determinada pelo caminho do arquivo em vez da fonte de configuração. Um invasor com controle sobre um gerente pode gravar arquivos de política não assinados no diretório `var/incoming` usando o canal de atualização e referenciá-los para executar verificações de comando com privilégios de root em agentes.

O software falha ao invalidar tokens emitidos para usuários run as com zero funções estáticas. Isso ocorre porque a função `check token()` nunca consulta a lista negra. Consequentemente, invasores com permissões de administrador revogadas podem continuar a se autenticar e vincular a função de administrador a si mesmos para manter o acesso privilegiado permanentemente.

Um problema de sobrescrita arbitrária de arquivos existe na função `MasterHandler.process files from worker()`. Um worker de cluster comprometido pode ignorar as proteções usando um bypass de basename com barra final e a ausência de aplicação do `extra valid` para sobrescrever arquivos mestres protegidos, especificamente `ossec.conf` e `agent.conf`. Isso permite a execução remota de código como root no gerenciador e em todos os agentes associados. A exploração requer uma chave de cluster ou acesso privilegiado à API.

Existe uma divergência de sensibilidade a maiúsculas e minúsculas entre o validador ossec.conf e o wazuh-logcollector, permitindo a evasão da validação de comandos remotos. Usuários autenticados com a permissão `manager:update config` podem injetar um comando `LOG FORMAT` em letras maiúsculas `localfile`, que o coletor executa como root ao ser reiniciado.

Um problema de path traversal existe nas funções `upload list file`, `upload rule file` e `upload decoder file`. Atacantes que possuam a chave do cluster podem enviar requisições DistributedAPI contendo sequências `../` na variável `filename`, ignorando a validação do controlador REST. Isso permite que workers de cluster maliciosos escrevam arquivos em caminhos arbitrários como o usuário wazuh. Path traversal é uma técnica usada para acessar arquivos e diretórios que estão armazenados fora da pasta raiz da web.

Um estouro de buffer de heap existe na função `fim generate alert()`. O problema ocorre porque a variável `full log` é dimensionada com base na entrada, mas escrita com um limite definido por `OS MAXSTR`. Um agente inscrito pode explorar isso enviando um evento FIM syscheck especialmente criado para corromper a memória heap do gerenciador, levando a um travamento determinístico do processo `wazuh-analysisd` e resultando em uma interrupção de detecção em toda a frota.

Um problema de divulgação de informações permite que usuários com baixos privilégios e permissões `agent:read` recuperem a senha de registro `authd.pass` em texto simples. Isso ocorre por meio de um endpoint de configuração de agente não mascarado. Usuários com a função readonly padrão podem solicitar a configuração do componente de autenticação para o ID de pseudo-agente `000` para obter o segredo, o que poderia permitir o registro de agentes maliciosos no gerenciador.

Existe uma condição de corrida no mecanismo de limitação de login da API. Isso permite que invasores não autenticados ignorem o limite `max login attempts` enviando solicitações simultâneas. Ao disparar rajadas de tentativas de login simultâneas para os endpoints 'authenticate' e 'run as', um invasor pode passar pela verificação de bloqueio antes que as falhas anteriores sejam registradas, facilitando a adivinhação ilimitada de senhas.

Um problema de path traversal existe no auxiliar `get list file`. Isso permite que workers de cluster maliciosos que possuam a chave do cluster leiam arquivos arbitrários fornecendo valores de nome de arquivo não validados através de requisições DistributedAPI. Isso pode levar à exposição de arquivos sensíveis, como `client.keys` e `ossec.conf`.

Um problema de expansão descontrolada de alias YAML existe no componente `yaml2json node`. Isso permite que uma política controlada pelo gerente esgote a memória do agente. Um invasor com controle sobre o gerente pode enviar uma pequena política de SCA contendo aliases aninhados via `merged.mg` para disparar uma condição de Out-Of-Memory (OOM), que encerra o processo `wazuh-modulesd` em cada agente de um grupo.

Um problema de traversal de caminho existe nos auxiliares `delete rule file` e `delete decoder file`. Isso permite que trabalhadores de cluster maliciosos que possuam a chave do cluster excluam arquivos arbitrários, como `ossec.conf`, `client.keys` ou regras, enviando sequências de traversal através da DistributedAPI via um parâmetro `filename` não validado. Path traversal é uma técnica usada para acessar arquivos e diretórios armazenados fora da pasta raiz da web através da manipulação de variáveis como caminhos de arquivo.

Uma falha de bypass de autorização permite que usuários autenticados com baixos privilégios leiam o catálogo de Controle de Acesso Baseado em Função (RBAC). Ao consultar endpoints de segurança desprotegidos, invasores podem mapear ações e endpoints privilegiados para planejar a escalada de privilégios. Os endpoints de API afetados são 'GET /security/actions' e 'GET /security/resources', que não aplicam as políticas de RBAC do solicitante.

Um problema de path traversal existe nos manipuladores de lista CDB dentro das funções `get lists()` e `delete list file()`. Isso permite que workers de cluster comprometidos leiam ou excluam arquivos mestres ao enviar nomes de arquivos com caminhos absolutos ou de travessia através do caminho RPC interno do cluster, ignorando a validação REST e o Controle de Acesso Baseado em Função (RBAC). Um exemplo de arquivo alvo é o `rbac.db`.

Uma verificação de origem ausente na função `wm agent upgrade` permite que agentes registrados emitam comandos `upgrade custom` usando a variável `file path` controlada por um invasor. Isso permite que invasores injetem uma mensagem `upgrade custom` através do canal do agente para ler arquivos arbitrários com privilégios de root, exfiltrando potencialmente arquivos sensíveis como `/etc/shadow` e `client.keys`.