- Aktif istismar
- CWE-502
CVE-2025-24016
Wazuh sunucusunda güvensiz seri durumdan çıkarma ile uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 26 Şub 2026
- Açık yaşı
- 625 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Güvenlik izleme için kullanılan Wazuh sunucuları, saldırganlar tarafından uzaktan tamamen ele geçirilebiliyor ve bu açığın aktif olarak istismar edildiği bilinmektedir. Ele geçirilen bir izleme sunucusu, kurumun diğer sistemlerine yönelik saldırılar için bir sıçrama noktası olabilir. Güncellemenin gecikmeden yapılması gerekir.
ÖzetTürkçe
Wazuh sunucusunda, DistributedAPI parametrelerinin ile JSON'dan seri durumdan çıkarılması sırasında güvensiz deserializasyon açığı bulunuyor. Saldırgan, DAPI istek veya yanıtına temizlenmemiş bir sözlük enjekte ederek adlı sahte bir istisna oluşturabiliyor ve rastgele Python kodu çalıştırabiliyor. Açık, 4.4.0 sürümünden itibaren 4.9.1 sürümüne kadar olan Wazuh sürümlerini etkiliyor. API erişimi olan herkes (ele geçirilmiş bir panel veya kümedeki bir Wazuh sunucusu) ve bazı yapılandırmalarda ele geçirilmiş bir ajan bu açığı tetikleyebiliyor.
Saldırgan ne yapabilir?
Saldırgan Wazuh sunucusunda uzaktan kod çalıştırarak sunucunun kontrolünü ele geçirebilir. Bu da izleme verilerinin ve güvenlik altyapısının bütünlüğünün ve erişilebilirliğinin ciddi biçimde tehlikeye girmesine yol açar.
Kaynaktaki açıklama (İngilizce)
Wazuh is a free and open source platform used for threat prevention, detection, and response. Starting in version 4.4.0 and prior to version 4.9.1, an unsafe deserialization vulnerability allows for remote code execution on Wazuh servers. DistributedAPI parameters are a serialized as JSON and deserialized using as_wazuh_object (in framework/wazuh/core/cluster/common.py). If an attacker manages to inject an unsanitized dictionary in DAPI request/response, they can forge an unhandled exception (__unhandled_exc__) to evaluate arbitrary python code. The vulnerability can be triggered by anybody with API access (compromised dashboard or Wazuh servers in the cluster) or, in certain configurations, even by a compromised agent. Version 4.9.1 contains a fix.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Wazuh'u, açığın giderildiği 4.9.1 veya daha yeni bir sürüme yükseltin; kümedeki tüm sunucu düğümlerini güncelleyin. Genel öneri
- Üretici talimatlarına göre azaltma önlemlerini uygulayın; azaltma önlemleri mümkün değilse ürünün kullanımını durdurun. CISA
- Güncelleme yapılana kadar Wazuh API'sine ve küme iletişimine erişimi yalnızca güvenilir ağlar ve sistemlerle sınırlayın. Genel öneri
Ek önlemler
- Wazuh sunucularında ve panelinde olağandışı süreç oluşturma, beklenmeyen Python çalıştırma veya yetkisiz API çağrısı izlerini inceleyin; ele geçirilme şüphesi varsa sistemi adli inceleme için ayırın. Genel öneri
- Wazuh API kimlik bilgilerini ve küme anahtarlarını değiştirin; API erişimini en az ayrıcalık ilkesine göre kısıtlayın. Genel öneri
- Wazuh sunucularını ağ güvenlik duvarıyla segmente edin ve ajanlardan yalnızca gerekli portlara erişime izin verin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| wazuh | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.