CVE-2025-24016

La DistributedAPI del lado del servidor de Wazuh serializa los parámetros como JSON y los reconstruye con la rutina as_wazuh_object en el código común del clúster. Esa deserialización es insegura: al inyectar un diccionario manipulado en una solicitud o respuesta de la DAPI, un atacante puede forjar un objeto de excepción no manejada cuyo contenido se pasa a un eval de Python, ejecutando código Python arbitrario en el servidor de Wazuh. Cualquier parte con acceso a la API puede desencadenarlo y, en ciertas configuraciones, incluso un agente comprometido puede alcanzar la ruta vulnerable.

Wazuh es una plataforma de seguridad de código abierto ampliamente desplegada para la detección y respuesta ante amenazas, así que su servidor es un nodo central de confianza que ingiere telemetría de cada endpoint monitoreado y alberga amplia visibilidad y, a menudo, credenciales. Convertir el propio sistema de monitoreo de seguridad en un objetivo de RCE es una grave inversión de la confianza, y existe código de prueba de concepto público, con el error atrayendo interés de botnets contra clústeres expuestos. Actualiza a Wazuh 4.9.1 o posterior, restringe los puertos de la API y del clúster a hosts de confianza y, donde los agentes puedan alcanzar la ruta de la DAPI, revisa los límites de confianza del despliegue para que un solo agente comprometido no pueda pivotar hacia la ejecución de código en el manager.