CVE-2026-28221

Wazuh; tehdit önleme, tespit ve yanıt için kullanılan ücretsiz ve açık kaynaklı bir platformdur. Versiyon 4.8.0 ile versiyon 4.14.4 öncesi arasında, wazuh-remoted içerisindeki print_hex_string() fonksiyonunda yığın tabanlı bir arabellek taşması mevcuttur. Hata, char tipinin işaretli (signed) olarak değerlendirildiği ve derlenen kodun değişken sayıda parametre alan çağrıdan önce baytları işaret genişletmesine (sign-extend) tabi tuttuğu platformlarda, saldırgan tarafından kontrol edilen baytlar sprintf(dst_buf + 2*i, "%.2x", src_buf[i]) kullanılarak biçimlendirildiğinde tetiklenmektedir. 0xFF gibi giriş baytları için biçimlendirme işlemi, "ff" (2 karakter) yerine "ffffffff" (8 karakter) üretebilir ve bu durum sabit 2049 baytlık yığın arabellek sınırlarının dışına yazılmasına neden olur. Savunmasız yol, aşırı büyük bir uzunluk önekinin "unexpected message (hex)" tanı yolu işlemini çalıştırmasıyla, herhangi bir ajan kimlik doğrulaması veya kayıt mantığı gerçekleşmeden önce TCP/1514 üzerinden uzaktan erişilebilirdir. Ek olarak, aynı kimlik doğrulanmamış aşırı büyük mesaj tanı yolu, her tetikleme için saldırgan tarafından kontrol edilen bir hex dökümünü /var/ossec/logs/ossec.log dosyasına kaydeder; bu da izleme kalitesini düşürebilen ve disk/GÇ tüketebilen uzak günlük amplifikasyonuna (remote log amplification) olanak tanır. Bu günlük amplifikasyonu, işaret genişletme taşması tetiklenmese bile (örneğin 0x80'den küçük baytlar kullanılarak) gerçekleştirilebilir. Bu sorun versiyon 4.14.4 ile düzeltilmiştir.