NVD / CVE Program· CNA GitHub_M

CVE-2025-24016: Remote code execution in Wazuh server

КритическаяCVSS 9.9 · v3.1KEVГотовый эксплойт Есть исправление

Оценка Noroxi

Приоритет: Срочно (оценка срочности 97/100)

CISA подтвердило эксплуатацию в реальных атаках (10 июн. 2025 г.). Срок устранения для федеральных ведомств США: 1 июл. 2025 г.
Опубликован готовый модуль атаки (Metasploit, Nuclei); для эксплуатации не нужна особая квалификация.
Вероятность эксплуатации в ближайшие 30 дней: 93,8% (FIRST EPSS); выше, чем у 99,8% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Достаточно учётной записи с низкими привилегиями. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: github.com/wazuh/wazuh (Go) 4.9.1, 4.9.1+incompatible; govulncheck-vulndb (openSUSE:Tumbleweed) 0.0.20250312T181707-1.1.

Установите исправление сегодня или закройте доступ. Обновитесь до github.com/wazuh/wazuh (Go) 4.9.1, 4.9.1+incompatible; govulncheck-vulndb (openSUSE:Tumbleweed) 0.0.20250312T181707-1.1 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · CISA KEV · FIRST EPSS

Wazuh is a free and open source platform used for threat prevention, detection, and response. Starting in version 4.4.0 and prior to version 4.9.1, an unsafe deserialization vulnerability allows for remote code execution on Wazuh servers. DistributedAPI parameters are a serialized as JSON and deserialized using `as_wazuh_object` (in `framework/wazuh/core/cluster/common.py`). If an attacker manages to inject an unsanitized dictionary in DAPI request/response, they can forge an unhandled exception (`__unhandled_exc__`) to evaluate arbitrary python code. The vulnerability can be triggered by anybody with API access (compromised dashboard or Wazuh servers in the cluster) or, in certain configurations, even by a compromised agent. Version 4.9.1 contains a fix.

Опубликовано: 10 февр. 2025 г.
Обновлено: 17 июн. 2026 г.
EPSS: 93,8 % · 99-й процентиль
CWE: CWE-502

Инструменты для отчёта

JSON

Оценка срочности

Срочно

Установите исправление сегодня или закройте доступ.

CVSS: 39 / 40 · 9.9 / 10
CISA KEV: 30 / 30 · В списке
EPSS: 28 / 30 · 93,8 %

Решение CISA SSVC

Эксплуатация: активная
Автоматизируемо: нет
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · GitHub_M: 9,9; NVD ещё не выставил свою оценку; показана оценка CNA.

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Активно эксплуатируется

CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 10 июн. 2025 г.. Это указывает на реальные атаки, а не теорию.

Срок устранения для федеральных ведомств США: 1 июл. 2025 г..

Узнайте, когда запись изменится

В CISA KEV: эксплуатация в реальных атаках подтверждена
Есть боевой эксплойт
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
wazuh	wazuh	cpe:2.3:a:wazuh:wazuh

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

wazuh wazuh
- >= 4.4.0, < 4.9.1затронута

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

wazuh wazuh4.4.0 и новее · до 4.9.1

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Go	github.com/wazuh/wazuh	с 4.4.0 · до 4.9.1	4.9.1
Go	github.com/wazuh/wazuh	с 4.4.0+incompatible · до 4.9.1+incompatible	4.9.1+incompatible
openSUSE:Tumbleweed	govulncheck-vulndb	до 0.0.20250312T181707-1.1	0.0.20250312T181707-1.1

Тот же продукт

wazuh: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2023-50260Wazuh's vulnerability in host_deny AR script allows arbitrary command execution
47В плане
CVE-2021-44079In the wazuh-slack active response script in Wazuh 4.2.x before 4.2.5, untrusted user agents are passed to a curl command line, potentially…
40В плане
CVE-2026-30893Wazuh cluster sync path traversal in decompress_files() enables arbitrary file write and code execution from authenticated cluster peer
39Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2024-351773 февр. 2025 г. · Improper Access Control in wazuh-agent
31Наблюдать
← РаньшеCVE-2024-477703 февр. 2025 г. · Ability to view Agent list with no privilege access in wazuh-dashboard
32Наблюдать
Позже →CVE-2024-124310 июн. 2025 г. · Remote code execution and local privilege escalation in Wazuh Windows agent via NetNTLMv2 hash theft
38Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Go:github.com/wazuh/wazuh	4.9.1	Реестр пакетов (OSV)
Go:github.com/wazuh/wazuh	4.9.1+incompatible	Реестр пакетов (OSV)
opensuse:govulncheck-vulndb	0.0.20250312T181707-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

Модуль Metasploit ×1
Шаблон обнаружения Nuclei ×1
Репозиторий PoC на GitHub ×8

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Репозиторий PoC на GitHub	репозиториев: 8	2025-02-13 → 2025-07-13
Модуль Metasploit	exploit/linux/http/wazuh_auth_rce_cve_2025_24016Wazuh server remote code execution caused by an unsafe deserialization vulnerability.exploit	2025-02-10
Шаблон обнаружения Nuclei	Шаблон Nuclei CVE-2025-24016	—

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Metasploit10 февр. 2025 г.-1 дн.
Публикация10 февр. 2025 г.
Первый PoC13 февр. 2025 г.+2 дн.
CISA KEV10 июн. 2025 г.+119 дн.
Сегодня14 нояб. 2026 г.+641 дн.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-25769с разницей 400 дн.Wazuh Cluster vulnerable to Remote Code Execution via Insecure Deserialization
39Наблюдать
CVE-2026-28220с разницей 525 дн.Wazuh cluster DAPI arbitrary callable deserialization and RBAC context injection allow a cluster peer to execute privileged functions on the master node
36Наблюдать

В записи нет: ссылки на коммит или PR с исправлением · указания авторов находки · публичной программы вознаграждений.

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Достаточно учётной записи с низкими привилегиями.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: низкое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: высокое · работа сервиса может быть нарушена

Влияние может выйти за пределы уязвимого компонента (область действия меняется).

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Низкие
Взаимодействие с пользователем: Не требуется
Область действия: Изменяется
Влияние на конфиденциальность: Низкое
Влияние на целостность: Высокое
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-502 · Deserialization of Untrusted Data

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H

nvd-secondary

Первопричина

Данные, полученные по сети, десериализуются в собственный объектный формат языка без проверки источника. Во время десериализации могут быть задействованы пути выполнения кода внутри объекта.

Ошибка в коде

Весь класс CWE-502

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

python

1payload = sock.recv(65536)
2job = pickle.loads(payload)

Исправленный код

python

1payload = sock.recv(65536)
2if not hmac.compare_digest(sign(payload), header_sig):
3    raise PermissionError("недействительная подпись")
4job = JobSchema.validate(json.loads(payload))