CVE-2026-54085

Wazuh son nöqtələr və bulud iş yükləri üçün vahid XDR və SIEM mühafizəsi təmin edən açıq mənbəli təhlükəsizlik platformasıdır. 4.2.0-dan 4.14.6-ya qədər olan versiyalarda çox sayda aktiv cavab (active response) skripti hücumçu tərəfindən təsir edilmiş xəbərdarlıq sahələrini onların formatını yoxlamadan imtiyazlı sistem əmrlərinə ötürür ki, bu da root olaraq işləyən alətlərə arqument inyeksiyasına yol açır. srcip sahəsini idarə edən səkkiz skriptdən beşi — route-null.c, netsh.c, pf.c, npf.c və ipfw.c — IP olmayan girişləri rədd edən get_ip_version() yoxlamasını həyata keçirmir, disable-account.c isə dstuser sahəsini passwd/chuser əmrlərinə yalnız "root" ilə müqayisə aparmaqla ötürür. Məsələn, syslog vasitəsilə hazırlanmış loq hadisələrini inyeksiya edə bilən bir hücumçu elə srcip və ya dstuser dəyərləri təqdim edə bilər ki, aktiv cavab qaydası tetikləndikdə, bu dəyərlər yoxlanılmadan pfctl, npfctl, ipfw, route, netsh və passwd kimi fayrvoll və hesab idarəetmə əmrlərinə ötürülsün. Bu, əlavə əmr arqumentlərinin inyeksiya edilməsini mümkün edir və Windows-da wpopenv() funksiyasındakı dırnaq işarələri olmadan CreateProcess əmr sətiri birləşdirilməsi boşluqlar ehtiva edən srcip-nin daha çox arqument əlavə etməsinə şərait yaradır, disable-account.c isə istənilən sistem hesablarını bloklamaq üçün sui-istifadə edilə bilər. Bu problem 4.14.7 versiyasında düzəldilmişdir.