Wazuh クラスタDAPI の安全でないデシリアライズとRBAC迂回（マスターノードでの任意コード実行）

High（CVSS 8.4）に分類されるWazuh Wazuhの脆弱性です。オープンソースのセキュリティ監視基盤 Wazuh のクラスタ機能に、任意コード実行に至る欠陥がある。NVD の記述によれば、4.14.5 より前の Cluster Distributed API（DAPI）の処理に問題があり、クラスタのピア、または共有クラスタ鍵でクラスタチャネルに認証できる者が、マスターノードに攻撃者の指定した callable をデシリアライズさせて実行できる。原因は2つある。1つは framework/wazuh/core/cluster/common.py の as_wazuh_object() が、トップレベルパッケージが wazuh または api であれば任意の callable を解決してしまう点（許可リスト ALLOWED_CALLABLES_PACKAGES が広すぎる）。もう1つは framework/wazuh/core/cluster/dapi/dapi.py が、クライアントから渡された rbac_permissions をそのまま run_local() のグローバルRBACコンテキストとして適用する点で、rbac_mode に black を指定すると expose_resources で保護された関数の認可検査が正当な権限割り当てなしに通る。両者が組み合わさると、WAZUH_PATH 配下への任意ファイル書き込み、APIユーザーの新規作成、security.yaml の改ざんといったマスターノード上の特権操作が可能になり、マネージャ全体の侵害に連鎖しうる。CVSS 3.1 基本値は 8.4（High）で、ベクタは AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H。AV:A（隣接ネットワーク）と PR:H（高い権限）が要件になっている一方、S:C（Scope Changed）が付いている。修正は 4.14.5 で行われている。2026年8月14日時点で CISA KEV カタログには収載されていない。

影響の大きさは「クラスタ鍵を知っている者は何でもできる」に尽きる。Wazuh をシングルノードで運用していてクラスタを有効にしていないなら、この経路自体が存在しない。まず ossec.conf の cluster 設定が disabled になっているかを確認し、有効なら該当する。クラスタを使っている場合、対応は 4.14.5 へのアップグレードだが、それまでの緩和として、クラスタチャネル（既定 TCP 1516）が到達できる範囲をノード間だけに絞る。AV:A の評価どおり、この攻撃はインターネット越しではなく同一セグメントから来る想定なので、ノードを別セグメントへ隔離するかセキュリティグループで送信元を明示するのが効く。共有クラスタ鍵が漏れている可能性があるなら、アップグレードとあわせて鍵を再生成する。鍵の漏洩経路として多いのは、構成管理リポジトリへの平文コミットと、ノードのバックアップイメージである。侵害の確認は security.yaml の更新日時、APIユーザーの一覧、WAZUH_PATH 配下の想定外のファイルを見る。

Wazuh Wazuh を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-28220）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。