CVE-2025-24016criticalbajo ataqueCWE-502

CVE-2025-24016: fallo crítico en wazuh

Remote code execution in Wazuh server

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear wazuh+ Monitorear Wazuh Server

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.9epss 94%
de la publicación al arma3 días
Publicada en NVD10 feb
1ª PoC+3d
metasploit10 feb
CISA KEV+120d
Acción exigida por CISAplazo federal: 2025-07-01

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Los servidores Wazuh anteriores a la versión 4.9.1 tienen una falla que permite que los atacantes con acceso a la API ejecuten código malicioso enviando solicitudes especialmente preparadas. Esto ocurre porque el servidor procesa datos sin validación adecuada.

Detalle técnico

CVE-2025-24016 es una vulnerabilidad de deserialización insegura en la capa DistributedAPI de Wazuh (framework/wazuh/core/cluster/common.py) donde la función `as_wazuh_object` procesa parámetros JSON sin sanitización. Un atacante con acceso a la API (a través de un panel comprometido, nodos del clúster o agentes en ciertas configuraciones) puede inyectar un diccionario malicioso que contenga un objeto de excepción `__unhandled_exc__` para lograr la ejecución arbitraria de código Python en el servidor Wazuh. La vulnerabilidad afecta las versiones 4.4.0 hasta 4.9.0.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Wazuh is a free and open source platform used for threat prevention, detection, and response. Starting in version 4.4.0 and prior to version 4.9.1, an unsafe deserialization vulnerability allows for remote code execution on Wazuh servers. DistributedAPI parameters are a serialized as JSON and deserialized using `as_wazuh_object` (in `framework/wazuh/core/cluster/common.py`). If an attacker manages to inject an unsanitized dictionary in DAPI request/response, they can forge an unhandled exception (`__unhandled_exc__`) to evaluate arbitrary python code. The vulnerability can be triggered by anybody with API access (compromised dashboard or Wazuh servers in the cluster) or, in certain configurations, even by a compromised agent. Version 4.9.1 contains a fix.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H
Productos afectados
wazuh · wazuh
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — wazuh

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-50260HIGHWazuh's vulnerability in host_deny AR script allows arbitrary command executionEPSS 41.2%CVE-2026-25769CRITICALWazuh Cluster vulnerable to Remote Code Execution via Insecure DeserializationEPSS 9.1%CVE-2024-32038CRITICALWazuh Analysis Engine Event Decoder Heap-based Buffer Overflow Remote Code Execution VulnerabilityEPSS 1.0%CVE-2026-25770CRITICALWazuh has Privilege Escalation to Root via Cluster Protocol File WriteEPSS 1.0%CVE-2026-61800CRITICALWazuh cluster worker file sync allows arbitrary file write under /var/ossec (incomplete fix for CVE-2026-30893)EPSS 1.0%CVE-2026-45798HIGHWazuh: Pre-auth stack-buffer-overflow in compare_wazuh_versions reachable from wazuh-authd (TCP/1515) via crafted enrollment V: fieldEPSS 0.9%