返回技術公告
資安通知嚴重程度重大CVSS9.1

Wazuh 叢集協定可取得 root 權限，請更新至 4.14.3 以上

Wazuh

Wazuh 於 2026 年 3 月 17 日公開 6 項安全公告，修正包含在 4.14.3（2026-02-11 發布）。兩項重大漏洞都在 manager 的叢集協定（預設 1516/TCP），需持有叢集金鑰或控制一個叢集節點：CVE-2026-25770 可透過檔案同步覆寫 master 的 ossec.conf，於服務下次重新載入設定時由以 root 執行的 wazuh-logcollector 執行植入的指令；CVE-2026-25769 為叢集訊息反序列化未限制可載入的模組，可在 master 上執行任意函式。CVE-2025-30201 影響 Windows agent：能修改集中式 agent 設定者可繞過 OSQuery 模組的路徑檢查，使加入網域的 Windows 主機外洩電腦帳號的 NetNTLMv2 雜湊，進而被用於 NTLM relay 攻擊。其餘 3 項為服務中斷與堆疊緩衝區溢位問題（原廠評為中度）。

影響版本

  • Wazuh manager 3.9.0 至4.14.2CVE-2026-25770 叢集檔案寫入、CVE-2026-25790 堆疊緩衝區溢位
  • Wazuh manager 4.0.0 至4.14.2CVE-2026-25769 叢集反序列化
  • Wazuh manager 4.3.0 至4.14.2CVE-2026-25771 API 驗證中介層阻塞
  • Wazuh manager 4.4.0 至4.14.2CVE-2026-25772 堆疊緩衝區溢位
  • Wazuh agent（Windows）：CVE-2025-30201，原廠公告受影響欄位為 4.13.0 之前、內文寫 4.14.3 修正，4.13.0～4.14.2 是否受影響待原廠釐清

已修正版本

  • Wazuh4.14.3 以上2026-02-11 發布，manager 與 Windows agent
  • Wazuh4.14.9截至 2026-11-04 最新穩定版，GitHub Release 2026-10-15，並包含後續各次公告的修正

建議處理方式

  1. 依官方升級指南依序升級 indexer、server（manager）、dashboard 至 4.14.9 或更新的版本；所有中央元件須使用完全相同的版本（含修補版本號）
  2. 中央元件升級完成後再更新 agent，agent 版本不得高於 manager；CVE-2025-30201 的修正在 Windows agent 端，加入 AD 網域的 Windows 主機上的 agent 必須一併更新
  3. 叢集部署：master 與所有 worker 節點都要更新；任一節點若曾遭入侵或叢集金鑰外洩，應更換 ossec.conf 中的叢集金鑰

暫時無法更新時

  • CVE-2026-25770：原廠建議將 /var/ossec/etc/ossec.conf 的擁有者與群組設為 root:wazuh、權限設為 640，避免 wazuh 帳號或群組寫入
  • 叢集連接埠（預設 1516/TCP）只允許叢集節點之間互連；此措施只能降低暴露，無法阻止已遭入侵的合法節點利用，仍須升級
  • 原廠表示 CVE-2025-30201 沒有暫時解法（OSQuery 可由 manager 遠端設定），只能更新 agent

如何確認是否受影響

  • 於 manager 執行 /var/ossec/bin/wazuh-control info 查看版本，依上述各 CVE 的影響範圍判定；叢集漏洞另確認是否啟用叢集功能
  • 於 Wazuh dashboard 的 agent 清單篩選作業系統為 Windows、版本低於 4.14.3 的 agent

參考來源

GHSA-r4f7-v3p6-79jm：CVE-2026-25770 叢集協定寫檔提權為 rootgithub.comGHSA-3gm7-962f-fxw5：CVE-2026-25769 叢集反序列化遠端執行github.comGHSA-5g2v-99vr-3hgw：CVE-2025-30201 Windows agent UNC 路徑檢查繞過github.comWazuh 4.14.3 Release Notesgithub.comWazuh 文件：Upgrade guidedocumentation.wazuh.comGHSA-33w3-p5hm-jw7g：CVE-2026-25771github.comGHSA-h7vp-j34v-h6j5：CVE-2026-25772github.comGHSA-cf24-hq8x-5jx2：CVE-2026-25790github.comWazuh 4.14.9 Release Notesdocumentation.wazuh.comCISA Known Exploited Vulnerabilities Catalogwww.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告