Se ha revelado una falla de seguridad crítica en Wazuh Manager (versión 5.0.0-beta1) con una puntuación CVSS máxima de 10.0. Esta vulnerabilidad permitiría a atacantes remotos manipular alertas de seguridad, eliminar evidencia forense y alterar datos del SIEM en diversos entornos.

Se ha revelado un fallo de seguridad crítico en Wazuh Manager que podría permitir a atacantes remotos manipular alertas de seguridad, eliminar pruebas forenses y alterar datos de SIEM en diversos entornos.

La vulnerabilidad tiene una puntuación máxima de CVSS de 10.0, lo que resalta su grave impacto y la facilidad de su explotación.

El problema afecta a la versión 5.0.0-beta1 de Wazuh Manager y se origina en un fallo de inyección NDJSON en el subsistema inventory_sync recientemente introducido.

m_bulkData.append(R"({"index":{"_index":")");
m_bulkData.append(index); // Entrada no confiable
m_bulkData.append(R"("}})");
m_bulkData.append("\n");

La vulnerabilidad permite que un agente malicioso o comprometido inyecte operaciones masivas arbitrarias de OpenSearch abusando del campo DataValue.index, el cual se maneja incorrectamente sin sanitización.

Vulnerabilidad de Wazuh

Wazuh Manager reenvía los datos proporcionados por el agente directamente a la API _bulk de OpenSearch. Sin embargo, mientras que campos como _id se escapan correctamente, el campo _index se añade sin validación ni filtrado.

Esta inconsistencia permite a los atacantes inyectar operaciones adicionales, como delete (eliminar), index (indexar) o update (actualizar), en la carga útil de la solicitud.

Al inyectar cargas útiles como:

wazuh-states-inventory"}}
{}
{"delete":{"_index":"wazuh-alerts-*","_id":"target-doc"}}
{"index":{"_index":"x

Al incrustar caracteres de salto de línea y fragmentos de JSON especialmente diseñados en el campo index, un atacante puede introducir acciones masivas no autorizadas en el índice.

Estas operaciones maliciosas se ejecutan bajo las credenciales del indexador de Wazuh, que, por defecto, suelen tener privilegios de administrador con acceso total.

El ataque no requiere autenticación debido a configuraciones predeterminadas inseguras en wazuh-authd que permiten el registro anónimo de agentes.

Una vez registrado, un atacante puede: Eliminar documentos arbitrarios de los índices de Wazuh, borrando eficazmente alertas y registros.

Modificar datos de vulnerabilidades e inventario de otros agentes. Inyectar contenido malicioso en los paneles de Kibana para persistencia o para atacar al analista. Realizar manipulación de datos entre distintos inquilinos (cross-tenant) en entornos compartidos.

Los investigadores demostraron un exploit completo de extremo a extremo a través de los canales de comunicación estándar de Wazuh (puertos TCP 1514 y 1515), confirmando que las operaciones de eliminación inyectadas eliminaron con éxito los registros seleccionados del backend.

La vulnerabilidad se categoriza principalmente bajo CWE-74 (Inyección), junto con CWE-93 (Inyección CRLF) y CWE-863 (Autorización Incorrecta).

La causa raíz reside en la falta de validación de entrada y la neutralización incorrecta de caracteres especiales en el campo DataValue.index.

Debido a que el Wazuh Manager utiliza credenciales de OpenSearch de altos privilegios almacenadas en su almacén de claves, el fallo otorga efectivamente a los atacantes el control administrativo sobre los datos de seguridad que indexa.

Según el aviso de GitHub GHSA-ff9g-85jq-r3g3, el problema ha sido solucionado en la versión 5.0.0-beta3 de Wazuh. Se te recomienda encarecidamente que actualices inmediatamente.

Mitigaciones Recomendadas

Implementa una validación estricta para los nombres de los índices basada en las reglas de OpenSearch. Escapa todas las entradas controladas por el usuario antes de construir solicitudes masivas.

Evita el uso de roles con altos privilegios, como admin, para las operaciones del indexador. Desactiva el registro anónimo de agentes y aplica una autenticación segura.

Esta vulnerabilidad representa un riesgo significativo para las organizaciones que confían en Wazuh para la detección y respuesta ante amenazas.

Al permitir la manipulación silenciosa de datos y la eliminación de pruebas, los atacantes pueden evadir la detección y socavar la confianza en los sistemas de monitoreo de seguridad.

Si usas las versiones afectadas, debes tratar esto como un evento de parcheo prioritario y revisar los registros en busca de cualquier signo de modificaciones no autorizadas en el índice.