Trusted Design

CVE-2025-24016 の詳細

CVEの情報

説明:
Wazuh is a free and open source platform used for threat prevention, detection, and response. Starting in version 4.4.0 and prior to version 4.9.1, an unsafe deserialization vulnerability allows for remote code execution on Wazuh servers. DistributedAPI parameters are a serialized as JSON and deserialized using `as_wazuh_object` (in `framework/wazuh/core/cluster/common.py`). If an attacker manages to inject an unsanitized dictionary in DAPI request/response, they can forge an unhandled exception (`__unhandled_exc__`) to evaluate arbitrary python code. The vulnerability can be triggered by anybody with API access (compromised dashboard or Wazuh servers in the cluster) or, in certain configurations, even by a compromised agent. Version 4.9.1 contains a fix.

CVE更新日: 2025-02-10 20:15:42.540000

CVSSバージョン: 3.1

CVSSスコア: 9.9

KEVの情報

KEV更新日: 2025-06-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.938400000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-24016について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-24016は、Wazuh Serverにおける重大なリモートコード実行（RCE）の脆弱性です。これは、DistributedAPIコンポーネントにおける安全でないデシリアライゼーションの欠陥に起因します。APIアクセス権を持つ攻撃者は、特別に細工されたJSONペイロードを注入することで、リモートで任意のPythonコードを実行する可能性があります。この脆弱性は、framework/wazuh/core/cluster/common.pyファイル内のas_wazuh_object関数が入力のサニタイズを適切に行わないために発生します。

1.1 影響

  • Wazuhサーバー上で任意のリモートコード実行（RCE）が可能になります。
  • 潜在的なサービス拒否（DoS）が発生する可能性があります（例：PoCで終了機能をトリガーした場合）。
  • システムが完全に侵害される可能性があります。
  • この脆弱性は、Miraiボットネットの展開のために活発に悪用されていることが確認されています。

1.2 深刻度

  • 深刻度：Critical (緊急)
  • 共通脆弱性評価システム（CVSS）スコア：9.9
  • CISAの既知の悪用されている脆弱性（KEV）カタログにリストされており、修正期限は2025年7月1日です。
  • FIRST EPSSスコア：0.938です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されず、Wazuh Serverアプリケーション自体に影響を与えます。

2.2 影響を受ける設定

  • Wazuhのバージョン4.4.0から4.9.0が影響を受けます。
  • 攻撃者が有効な管理者APIクレデンシャルを持ち、WazuhサーバーAPIへのアクセス権がある場合に悪用可能です。
  • WazuhサーバーAPIが攻撃者からアクセス可能であること（例：インターネットに公開されている場合）。
  • APIアクセス権を持つ者（侵害されたダッシュボードやクラスター内のWazuhサーバーなど）、または特定の構成で侵害されたエージェントによってトリガーされる可能性があります。

3. 影響を受けた時の兆候

  • 異常なAPIアクティビティが観測される。
  • Miraiボットネット活動の兆候が確認される。
  • サーバー上で任意のPythonコードが実行される。
  • Wazuhサーバーがシャットダウンする（PoCによる終了機能が利用された場合）。

4. 推奨対策

4.1 本対策

  • Wazuhをバージョン4.9.1以降に直ちにアップグレードしてください。
  • この問題は2024年10月にバージョン4.9.1で修正されました。

4.2 暫定回避策（緩和策）

  • Wazuh APIを外部に公開しない（インターネットに晒さない）。
  • APIアクセス権限を見直し、最小限に制限する。
  • エージェントの構成を強化する。
  • 異常なAPIアクティビティを監視する。
  • 強力な管理者APIクレデンシャルを使用し、デフォルトパスワードの使用を避ける。
  • SonicWallは、この脆弱性に対する保護としてIPSシグネチャ「20732 - Wazuh Insecure Deserialization」をリリースしています。

その他に解説すべき観点

  • 認証の必要性: この脆弱性は認証された脆弱性であり、攻撃者は悪用するために有効なAPIクレデンシャルを必要とします。しかし、公開されているPoCエクスプロイトが存在し、ボットネット展開のために実世界で活発に悪用されています。
  • Wazuh社は、適切なセキュリティ対策（APIを公開しない、強力なクレデンシャルの使用など）が講じられていれば、悪用の可能性は低く、全体的なリスクは限定的であると説明しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る