CVE-2026-67308: Kritisk fejl i Wazuhs GitHub Actions
Fejl i Wazuhs GitHub Actions-workflows lader angribere køre systemkommandoer via manipulerede pull requests. Opdatér til rettet version efter commit 44bf114.
Hvad er det?
CVE-2026-67308 er en sårbarhed i de arbejdsgange (GitHub Actions-workflows), som Wazuh-projektet bruger til automatisk at bygge og teste kode. Fejlen er en shell-injektion, det vil sige at en angriber kan snige egne systemkommandoer ind i et script ved at udnytte, at værdier fra en fil kaldet VERSION.json bliver indsat direkte i en kommandolinje uden at blive renset for specialtegn. Ved at indsende en pull request med en manipuleret VERSION.json kan en angriber få GitHub Actions-runneren til at udføre vilkårlig kode. Fejlen findes i alle versioner af Wazuhs workflows før commit 44bf114.
Hvem rammer det?
Sårbarheden rammer ikke Wazuh-serveren eller -agenten, som I kører i produktion til logovervågning og intrusion detection. Den rammer organisationer, der selv vedligeholder en kopi (fork) af Wazuhs kildekode på GitHub og bruger egne selv-hostede runnere til at bygge, teste eller udgive kode via GitHub Actions. Det gælder især, hvis repositoriet tager imod pull requests fra eksterne bidragydere, og workflows kører automatisk uden godkendelse først.
Hvad kan ske?
En angriber, der indsender en pull request med en manipuleret VERSION.json, kan få kommandoer kørt direkte på jeres selv-hostede runner. Herfra kan angriberen stjæle hemmeligheder som GITHUB_TOKEN og AWS-nøgler, der ligger på runneren, og bruge dem til at ændre kode, udgive falske versioner eller få adgang til jeres skyressourcer. For en dansk virksomhed, der har forgrenet Wazuh til intern brug, betyder det risiko for tab af adgangsnøgler og kompromittering af hele byggekæden, ikke kun ét system.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, den højeste mulige. Angrebet kræver ingen login og ingen brugerinteraktion ud over, at en runner kører den sårbare workflow automatisk. Enhver, der kan sende en pull request til det ramte repositorium, kan udløse fejlen over netværket. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, fordi angriberen får kommandoudførelse og kan hente hemmeligheder ud. Der er ikke oplysninger om, at sårbarheden aktivt bliver udnyttet i angreb, men mekanismen er offentligt beskrevet og enkel at reproducere.
Hvad gør jeg nu?
Handlingerne herunder gælder jer, der selv vedligeholder en fork af Wazuh eller bruger tilsvarende GitHub Actions-workflows med selv-hostede runnere.
- Opdatér workflows-mappen i jeres fork til den version, der ligger efter commit 44bf114, eller hent den rettede fil direkte fra Wazuhs officielle repositorium.
- Gennemgå alle workflows for steder, hvor værdier fra pull requests indsættes direkte i run-kommandoer, og erstat det med sikre metoder, hvor variable sendes som miljøvariable i stedet for at blive skrevet ind i teksten.
- Udskift GITHUB_TOKEN og alle AWS-nøgler, der har ligget tilgængelige på selv-hostede runnere, og gennemgå logs for uventet brug af dem.
- Kræv godkendelse, før workflows kører automatisk på pull requests fra eksterne bidragydere, især hvis I bruger selv-hostede runnere.
- Overvej at skifte til GitHub-hostede runnere for offentlige repositorier, da de isoleres bedre mellem kørsler end selv-hostede.
- Få ekstern hjælp, hvis I ikke selv har kompetencer til at gennemgå og sikre jeres CI/CD-opsætning.
Opdatér workflows denne uge
Vi anbefaler, at I straks tjekker, om jeres organisation har en fork af Wazuh med egne GitHub Actions-workflows og selv-hostede runnere. Hvis det er tilfældet, bør I hente den rettede workflow-kode og udskifte eksponerede nøgler denne uge. Bruger I derimod kun de officielle, færdigbyggede Wazuh-pakker eller docker-images uden egen CI-opsætning, er I ikke direkte ramt, og det er i orden at vente på jeres normale opdateringscyklus.
Tidslinje
Konkrete eksempler
Kompromitteret byggekæde hos en dansk it-leverandør
En dansk it-leverandør har forgrenet Wazuh på GitHub for at tilpasse løsningen til egne kunder og bruger en selv-hostet runner til at bygge og udgive interne pakker. En ekstern bidragyder sender en pull request med en manipuleret VERSION.json. Workflowet kører automatisk, og angriberen får adgang til leverandørens AWS-nøgler, som bruges til at uploade skadelig kode til virksomhedens interne pakkelager, hvorfra den spredes videre til flere kundeinstallationer.
Ofte stillede spørgsmål
Er vi ramt, hvis vi bare kører Wazuh som SIEM i produktion?
Nej, ikke direkte. Sårbarheden ligger i Wazuh-projektets byggeprocesser på GitHub, ikke i selve Wazuh-serveren eller -agenten. I er kun ramt, hvis I selv vedligeholder en fork med egne GitHub Actions-workflows og selv-hostede runnere.
Hvordan tjekker vi, om vores GitHub Actions-workflows er sårbare?
Gennemgå workflow-filerne i .github/workflows for steder, hvor værdier fra en pull request, for eksempel fra en fil som VERSION.json, indsættes direkte i en run-kommando uden at blive behandlet som en almindelig miljøvariabel. Det er dette mønster, der giver angriberen mulighed for at indsætte egne kommandoer.
Kan vi vente til weekenden med at rette det?
Det afhænger af, om jeres repositorium tager imod pull requests fra eksterne bidragydere, og om workflows kører automatisk på dem. Gør de det, bør rettelsen prioriteres samme dag, fordi enhver kan udløse angrebet uden login.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Hvis I finder bevis for, at GITHUB_TOKEN eller AWS-nøgler er blevet stjålet og misbrugt, bør I behandle det som et sikkerhedsbrud og vurdere anmeldepligt efter reglerne for databeskyttelse, hvis persondata er involveret, samt underrette relevante skyudbydere om kompromitterede nøgler.
Hvad er selv-hostede runnere, og hvorfor er de mere udsatte?
En selv-hostet runner er en maskine, I selv driver til at køre GitHub Actions, i modsætning til GitHub’s egne, midlertidige runnere. Selv-hostede runnere beholder ofte tilstand og adgang mellem kørsler, hvilket gør det lettere for en angriber at stjæle hemmeligheder eller efterlade sig varigt fodfæste.
Hvordan ved vi, om sårbarheden allerede er udnyttet hos os?
Gennemgå logs for jeres GitHub Actions-kørsler for uventede eller mislykkede pull requests med usædvanligt indhold i VERSION.json, og tjek, om GITHUB_TOKEN eller AWS-nøgler har været brugt fra uventede IP-adresser eller til uventede handlinger.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Wazuh workflows before 44bf114 contain a shell injection vulnerability in GitHub Actions that allows attackers to execute arbitrary commands by submitting pull requests with crafted VERSION.json files. Attackers can inject shell metacharacters into environment variables that are directly interpolated into run steps, enabling command execution and exfiltration of secrets including GITHUB_TOKEN and AWS credentials on self-hosted runners.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.