JVNDB-2026-033650

Wazuh Inc.のWazuhにおけるファイル名やパス名の外部制御に関する脆弱性

Wazuhは、脅威の予防、検出、および対応に使用される無料かつオープンソースのプラットフォームです。バージョン4.3.0から4.14.6および5.0.0-beta3まで、framework/wazuh/core/cluster/master.py内のprocess_files_from_worker()の非マージブランチは、files_metadata.jsonから取得したピア側が制御するfile_pathキーを信頼しています。宛先がcluster_item_keyによって選択されたディレクトリ内に留まっていることを確認せずにWAZUH_PATHに結合されてしまいます。共有Fernetキーを保持するクラスターピアは、細工されたextra-validアーカイブをアップロードすることで、/var/ossec/etc/ossec.confなどのセキュリティに敏感なファイルを上書きすることが可能です。ossec.confを置き換えると、root権限で実行されるコマンドを設定でき、サービスのリロード後にコード実行につながる恐れがあります。この問題はバージョン4.14.6および5.0.0-beta3で修正されています。

Wazuh Inc.

• Wazuh 4.3.0 以上 4.14.6 未満
• Wazuh 5.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : peer-controlled metadata key in process_files_from_worker non-merged branch allows arbitrary file write under WAZUH_PATH on Wazuh manager  Advisory  wazuh/wazuh  GitHub

1. ファイル名やパス名の外部制御(CWE-73) [その他]

1. CVE-2026-49441

1. National Vulnerability Database (NVD) : CVE-2026-49441
2. 関連文書 : Cluster file processing parameter validation by vikman90  Pull Request #36296  wazuh/wazuh
3. 関連文書 : Release Wazuh v4.14.6  wazuh/wazuh  GitHub
4. 関連文書 : Release Wazuh v5.0.0 Beta 3  wazuh/wazuh  GitHub
5. 関連文書 : fix(cluster): validate file path parameter in non-merged sync  wazuh/wazuh@7f13682  GitHub

• [2026年09月16日]
    掲載