CVE-2026-54083

Wazuh son nöqtələr və bulud iş yükləri üçün vahid XDR və SIEM mühafizəsi təmin edən açıq mənbəli təhlükəsizlik platformasıdır. ip-customblock aktiv cavab skriptində hücumçunun fayl sistemində root səlahiyyətləri ilə istənilən faylı yaratmasına və ya silməsinə şərait yaradan yol keçidi (path traversal) zəifliyi mövcuddur. Skript, alert JSON-dan götürülmüş srcip sahəsini dəyərin düzgün formatlanmış IP ünvanı olduğunu yoxlamadan birbaşa sabit /ipblock/ baza kataloquna əlavə etməklə fayl yolu formalaşdırır. Çıxarma proseduru xam sətiri yoxlamadan qaytardığı üçün, tərkibində ../ ardıcıllıqları olan xüsusi hazırlanmış srcip ilə xəbərdarlığa uyğun loq hadisələrini tetikləyə bilən hücumçu baza kataloqundan kənara çıxa bilər. Bloklama hərəkəti nəticədə alınan yolu əlavə etmə rejimində açaraq istənilən məkanda boş fayl yaradır, blokun götürülməsi hərəkəti isə onu remove() funksiyasına ötürərək istənilən faylı silir; aktiv cavab demonu root olaraq çalışdığı üçün bura sistem etibarnamələri və Wazuh konfiqurasiyası kimi həssas fayllar da daxildir. get_ip_version() vasitəsilə IP olmayan girişləri rədd edən oxşar host-deny.c, default-firewall-drop.c və firewalld-drop.c skriptlərindən fərqli olaraq, ip-customblock.c bu yoxlamanı həyata keçirmir. Bu problem 4.14.7 versiyasında aradan qaldırılıb.