vs gauge
区分
JVN番号
タイトル
JVN
深刻度
最終更新日
CVE番号
New
JVNDB-2026-024641

Wazuh Inc.のWazuhにおけるパストラバーサルの脆弱性

7.5
2026/07/22 10:20
CVE-2026-39359
JVNDB-2026-024641
Wazuh Inc.のWazuhにおけるパストラバーサルの脆弱性
概要
Wazuhは、脅威の予防、検出、および対応に使用される無料かつオープンソースのプラットフォームです。バージョン4.0.0から4.10.3および4.11.0から4.14.4において、Wazuhマネージャの登録デーモン（authd）と同期デーモン（remoted）に論理的な欠陥があります。authdプロセスはエージェントが登録時にグループを選択できるようにしますが、「..」のようなパストラバーサルシーケンスをフィルタリングしません。一方、マネージャはwopendir()を使ってグループディレクトリをチェックしますが、「..」シーケンスは親ディレクトリ（/var/ossec/etc）を参照するため、検証を通過してしまいます。悪意のあるグループが受け入れられ、マネージャのグローバルデータベースに格納された後、remotedプロセスはこの未検証の値を使用してエージェント設定の同期用パスを構築します。結果として、client.keys、ossec.conf、内部証明書などの/var/ossec/etcにある機密ファイルがエージェントの共有設定ストリームに含まれ、攻撃者に漏洩してしまいます。この問題はバージョン4.10.4および4.14.5で修正されています。
想定される影響と対策
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。
ベンダ情報を参照して適切な対策を実施してください。
JVN情報　※( )内はCVSS v2の値
深刻度 7.5
CVECVE-2026-39359
公表日2026/07/17 00:00
登録日2026/07/22 10:20
更新日2026/07/22 10:20
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン