CVE-2025-24016

Analyse en français

Vulnérabilité de désérialisation non sécurisée (CWE-502) dans Wazuh de la version 4.4.0 à avant 4.9.1, permettant l'exécution de code à distance sur les serveurs Wazuh. Elle affecte les composants DistributedAPI qui désérialisent des paramètres JSON via la fonction as_wazuh_object.

Impact

Un attaquant disposant d'un accès API (tableau de bord compromis, serveur Wazuh compromis dans le cluster, ou dans certaines configurations un agent compromis) peut injecter un dictionnaire non assaini et provoquer une exception forgée pour exécuter du code Python arbitraire sur le serveur Wazuh.

Que faire ?

Mettre à jour Wazuh vers la version 4.9.1 ou ultérieure. À défaut, restreindre fortement les accès API et surveiller les journaux DistributedAPI pour détecter des objets ou exceptions inhabituelles. Si aucune correction ou atténuation n'est possible, cesser d'utiliser le produit concerné.

Analyse générée par IA le 28/10/2026 : vérifiez l'avis officiel de l'éditeur.

Exploitation active confirmée

Ajoutée au catalogue CISA KEV le 10/06/2025, correctif exigé avant le 01/07/2025 pour les agences fédérales américaines.

Action requise : Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Description officielle (NVD)

Wazuh is a free and open source platform used for threat prevention, detection, and response. Starting in version 4.4.0 and prior to version 4.9.1, an unsafe deserialization vulnerability allows for remote code execution on Wazuh servers. DistributedAPI parameters are a serialized as JSON and deserialized using `as_wazuh_object` (in `framework/wazuh/core/cluster/common.py`). If an attacker manages to inject an unsanitized dictionary in DAPI request/response, they can forge an unhandled exception (`__unhandled_exc__`) to evaluate arbitrary python code. The vulnerability can be triggered by anybody with API access (compromised dashboard or Wazuh servers in the cluster) or, in certain configurations, even by a compromised agent. Version 4.9.1 contains a fix.

Preuves de concept publiques (8)

Dépôts tiers non vérifiés, parfois piégés. Ne les exécutez jamais en production : uniquement dans un environnement de test isolé.

• 0xjessie21/CVE-2025-24016 · ★ 43 · 16/02/2025
  CVE-2025-24016: Wazuh Unsafe Deserialization Remote Code Execution (RCE)
• guinea-offensive-security/Wazuh-RCE · ★ 8 · 13/07/2025
  Wazuh 8.4 CVE-2025-24016
• MuhammadWaseem29/CVE-2025-24016 · ★ 6 · 20/02/2025
  CVE-2025-24016: RCE in Wazuh server! Remote Code Execution
• huseyinstif/CVE-2025-24016-Nuclei-Template · ★ 4 · 13/02/2025
• cybersecplayground/CVE-2025-24016-Wazuh-Remote-Code-Execution-RCE-PoC · ★ 2 · 21/04/2025
  A critical RCE vulnerability has been identified in the Wazuh server due to unsafe deserialization in the wazuh-manager package. This bug affects Wazuh versions ≥ 4.4.0 and has been patched in version
• rxerium/CVE-2025-24016 · ★ 2 · 10/06/2025
  Detection for CVE-2025-24016 - Deserialization of Untrusted Data Vulnerability in the Wazuh software
• GloStarRx1/CVE-2025-24016 · ★ 1 · 21/02/2025
  CVE-2025-24016: RCE in Wazuh server! Remote Code Execution
• celsius026/poc_CVE-2025-24016 · ★ 0 · 15/04/2025

Références

• https://github.com/wazuh/wazuh/security/advisories/GHSA-hcrc-79hj-m3qh , Exploit, Vendor Advisory
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-24016 , US Government Resource

En bref

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H

EPSS : probabilité estimée d'exploitation dans les 30 prochains jours.

Produits concernés

Sources officielles

Besoin d'aide ?

Nos experts évaluent votre exposition et vous accompagnent dans la correction.