Vulnerabilidad en Wazuh (CVE-2024-35177)

Wazuh es una plataforma gratuita y de código abierto que se utiliza para la prevención, detección y respuesta ante amenazas. Es capaz de proteger cargas de trabajo en entornos locales, virtualizados, en contenedores y basados ??en la nube. El agente wazuh para Windows es vulnerable a una vulnerabilidad de escalada de privilegios locales debido a una ACL incorrecta del directorio de instalación no predeterminado. Un usuario malintencionado local podría explotar esta vulnerabilidad colocando una de las muchas DLL que están cargadas y no están presentes en sistema en la carpeta de instalación del agente O reemplazando el binario ejecutable del servicio por uno malintencionado. La causa principal es una ACL incorrecta aplicada en la carpeta de instalación cuando se especifica una ruta de instalación no predeterminada (p. ej., C:\wazuh). Muchas DLL se cargan desde la carpeta de instalación y, al crear una DLL maliciosa que exporta las funciones de una legítima (y que no se encuentra en el directorio sistema donde está instalado el agente, como rsync.dll), es posible escalar privilegios de un usuario con pocos privilegios y obtener la ejecución de código en el contexto de NT AUsistemaY\SYSTEM. Este problema se ha solucionado en la versión 4.9.0 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.