Wazuh: PoC pubblico per lo sfruttamento della CVE-2026-71540

Wazuh: PoC pubblico per lo sfruttamento della CVE-2026-71540

Disponibile un Proof of Concept (PoC) per lo sfruttamento della CVE-2026-71540 – già sanata dal vendor – presente in Wazuh, piattaforma open-source con funzionalità di Security Information and Event Management (SIEM) e Extended Detection and Response (XDR).

Disponibile un Proof of Concept (PoC) per lo sfruttamento della CVE-2026-71540 – già sanata dal vendor – presente in Wazuh, piattaforma open-source con funzionalità di Security Information and Event Management (SIEM) e Extended Detection and Response (XDR).

Tale vulnerabilità, di tipo "Pre-authentication Memory Exhaustion" e con score CVSS v3.1 pari a 7.5, è causata da un errato ordine delle operazioni nel parsing del protocollo cluster di Wazuh. In particolare, il processo wazuh-clusterd, nel modulo framework/wazuh/core/cluster/common.py, legge l'header del protocollo cluster (20 byte) e utilizza immediatamente il campo che indica la dimensione del payload per allocare in memoria un buffer della dimensione dichiarata, prima di verificare l'autenticità del peer tramite la decifratura Fernet. Di conseguenza, un host non autenticato può dichiarare una dimensione di payload arbitrariamente elevata (fino a 256 MiB), inducendo il server ad allocare memoria senza che sia stata ancora effettuata alcuna validazione dell'origine della connessione. Un attaccante remoto non autenticato potrebbe sfruttare tale vulnerabilità per causare un progressivo esaurimento della memoria disponibile, tramite l'avvio simultaneo di un elevato numero di connsessioni TCP mantenute appositamente attive ed incomplete. L'assenza di meccanismi di limitazione delle connessioni per sorgente consente infatti di amplificare il consumo di risorse, con possibili impatti sulla disponibilità del servizio, sulla sincronizzazione del cluster, sull'inoltro distribuito delle API e, nei casi più gravi, sulla stabilità del processo wazuh-clusterd.