Mogelijkheid om Agent lijst te bekijken zonder privilege toegang in wazuh-dashboard in github.com/wazuh/wazuh

De impact van deze kwetsbaarheid is dat een aanvaller zonder de juiste privileges de lijst met agents in Wazuh Dashboard kan inzien. Deze lijst kan gevoelige informatie bevatten, zoals de hostnamen, IP-adressen en configuratiegegevens van de agents. Dit kan de aanvaller in staat stellen om de omgeving verder te verkennen en mogelijk aanvallen uit te voeren op de agents zelf. Hoewel de directe impact beperkt lijkt, kan de blootgestelde informatie gebruikt worden voor verdere reconnaissance en lateral movement binnen het netwerk. Het is vergelijkbaar met scenario's waarin interne netwerklijsten worden blootgesteld, waardoor aanvallers een beter beeld krijgen van de infrastructuur.

Organizations utilizing Wazuh Dashboard for security monitoring are at risk. Specifically, deployments with misconfigured access controls or those relying on default Wazuh Dashboard settings are particularly vulnerable. Shared hosting environments where Wazuh Dashboard is deployed alongside other applications should also be considered at higher risk.

• linux / server: Monitor Wazuh Dashboard logs for unauthorized access attempts to the agent list endpoint. Use journalctl -u wazuh-dashboard to filter for suspicious activity.

journalctl -u wazuh-dashboard | grep "agent_list" | grep "unauthorized"

• generic web: Use curl to test access to the agent list endpoint without authentication. A successful response indicates the vulnerability is present.

curl -I http://<wazuh_dashboard_ip>/agent_list

• go: Review Wazuh Dashboard source code for the agent list functionality to identify potential vulnerabilities. Look for areas where authentication checks are missing or inadequate.

1. 2025-02-04Disclosure

   disclosure

1. Gereserveerd2024-09-30
2. Gepubliceerd2025-02-04
3. Gewijzigd2026-03-03
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-47770 is het upgraden van Wazuh Dashboard naar versie 4.9.1+incompatible of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de Wazuh Dashboard interface via een Web Application Firewall (WAF) of proxy. Configureer de WAF om verzoeken naar de agentenlijst te blokkeren voor niet-geauthenticeerde gebruikers. Controleer de Wazuh configuratie om te verzekeren dat de agentenlijst niet publiek toegankelijk is. Na de upgrade, verifieer de fix door te proberen de agentenlijst te bekijken met een account dat geen administrator rechten heeft; dit zou niet mogelijk moeten zijn.