JVNDB-2026-035211

Wazuh Inc.のWazuhにおける複数の脆弱性

Wazuhは、脅威の予防、検知、および対応に使用される無料でオープンソースのプラットフォームです。バージョン3.9.0から4.14.5および5.0.0-beta2までの間、framework/wazuh/core/cluster/common.pyにあるWazuhクラスターのプロトコルは、認証済みのクラスター・ノードがマスターのメモリを使い果たせる状態にありました。receive_str()メソッドはInBufferの合計サイズを最大値なしで攻撃者が制御できるため、new_strコマンドで複数ギガバイトのbytearrayを要求可能であり、繰り返しの要求がin_strに累積します。分割メッセージの経路も、div_msg_box内の一意のカウンター下にflag_dividedの断片を保持しますが、カウント、総サイズ、または有効期限の制限が設定されていません。この脆弱性を悪用されると、エージェントの接続性および監視環境全体のアラート処理が妨げられるおそれがあります。この問題はバージョン4.14.5および5.0.0-beta2で修正されています。

Wazuh Inc.

• Wazuh 3.9.0 以上 4.14.5 未満
• Wazuh 5.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Cluster Protocol Memory Exhaustion (DoS) via unbounded receive_str allocation and div_msg_box accumulation ― Wazuh 4.14.4  Advisory  wazuh/wazuh  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]
2. 過剰なサイズ値のメモリ割り当て(CWE-789) [その他]

1. CVE-2026-44253

1. National Vulnerability Database (NVD) : CVE-2026-44253
2. 関連文書 : Fix uncontroller memory allocation in cluster by FrancoRivero2025  Pull Request #35173  wazuh/wazuh
3. 関連文書 : Release Wazuh v4.14.5  wazuh/wazuh  GitHub
4. 関連文書 : Fix possible DoS attack in cluster  wazuh/wazuh@d29c5c8  GitHub

• [2026年09月25日]
    掲載