JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024641 Wazuhは、脅威の予防、検出、および対応に使用される無料かつオープンソースのプラットフォームです。バージョン4.0.0から4.10.3および4.11.0から4.14.4において、Wazuhマネージャの登録デーモン（authd）と同期デーモン（remoted）に論理的な欠陥があります。authdプロセスはエージェントが登録時にグループを選択できるようにしますが、「..」のようなパストラバーサルシーケンスをフィルタリングしません。一方、マネージャはwopendir()を使ってグループディレクトリをチェックしますが、「..」シーケンスは親ディレクトリ（/var/ossec/etc）を参照するため、検証を通過してしまいます。悪意のあるグループが受け入れられ、マネージャのグローバルデータベースに格納された後、remotedプロセスはこの未検証の値を使用してエージェント設定の同期用パスを構築します。結果として、client.keys、ossec.conf、内部証明書などの/var/ossec/etcにある機密ファイルがエージェントの共有設定ストリームに含まれ、攻撃者に漏洩してしまいます。この問題はバージョン4.10.4および4.14.5で修正されています。 cpe:/a:wazuh:wazuh https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024641.html Common Vulnerabilities and Exposures (CVE) CVE-2026-39359 https://www.cve.org/CVERecord?id=CVE-2026-39359 National Vulnerability Database (NVD) CVE-2026-39359 https://nvd.nist.gov/vuln/detail/CVE-2026-39359 GitHub Unauthenticated Path Traversal in Wazuh authd via Agent Group Name Advisory wazuh/wazuh GitHub https://github.com/wazuh/wazuh/security/advisories/GHSA-6q95-fcwc-4h44 JVNDB CWE-22 https://jvndb.jvn.jp/ja/cwe/CWE-22.html 2026-07-22T10:20:10+09:00 2026-07-22T10:20:10+09:00