JVNDB-2026-033937

Wazuh Inc.のWazuhにおける高圧縮データの処理 (データ増幅)に関する脆弱性

Wazuh 4.4.0から4.14.7より前のバージョンには、cluster.py内のfdecompress_files()関数にサービス拒否の脆弱性があります。この脆弱性により、認証されたクラスターピアが展開サイズの制限なしに悪意のある同期アーカイブを提供してメモリを枯渇させることが可能です。有効なクラスターファーネットキーを保持する攻撃者は、小さく高圧縮されたzip爆弾アーカイブをアップロードでき、マスターノード上のwazuh-clusterdがペイロード全体をメモリに展開させるため、メモリ枯渇およびサービスの中断を引き起こします。

Wazuh Inc.

• Wazuh 4.4.0 以上 4.14.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : zlib decompression bomb in cluster archive processing lets authenticated peer exhaust wazuh-clusterd memory  Advisory  wazuh/wazuh  GitHub

VulnCheck

• VulnCheck : Wazuh 4.4.0 < 4.14.7 DoS via fdecompress_files() Zip Bomb  | Advisories | VulnCheck

1. 高圧縮データの不適切な処理 (データ増幅)(CWE-409) [その他]

1. CVE-2026-74046

1. National Vulnerability Database (NVD) : CVE-2026-74046
2. 関連文書 : Bound decompressed size when processing sync archives by jotacarma90  Pull Request #37119  wazuh/wazuh

• [2026年09月17日]
    掲載