Wazuh 4.14.9: защита API-токенов и исправления контроля файлов

Это окончательный выпуск 4.14.9, а не ранее опубликованный кандидат RC2. Из большого списка исправлений выделяются изменения, важные для установок со сбором облачных событий, регистрацией агентов и контролем целостности файлов Windows.

Токен не должен уходить на другой хост

Модули интеграции с GitHub, Office 365 и Microsoft Graph раньше могли брать адрес следующей страницы из ответа API и повторять запрос с тем же заголовком Authorization. Если ответ указывал на другой хост, туда мог отправиться настроенный токен. В 4.14.9 такие переходы проверяются на соответствие хосту API; для Office 365 проверяется и адрес получения содержимого contentUri.

Это изменение касается соответствующих модулей сбора на менеджере. При отклонении адреса проход помечается неуспешным, а отметка обработанного диапазона не продвигается: пропущенные страницы должны быть запрошены повторно, а не считаться прочитанными. В PR не заявлены изменения конфигурации.

Незавершённые соединения регистрации освобождаются

Служба wazuh-authd больше не держит бесконечно соединения, которые не завершили запрос регистрации. Для них введён 30-секундный тайм-аут: он охватывает отсутствие TLS-рукопожатия, молчание после него и частично переданный запрос. Ранее такие соединения могли исчерпать пул и помешать регистрации или повторной регистрации законных агентов.

Исправление относится к серверу регистрации с механизмом epoll на Linux; Windows- и macOS-сборки этот серверный код не компилируют. Тайм-аут задан в коде, новая настройка для него не добавлена. Это устранение конкретного способа удержания соединений, а не заявление о защите от любых отказов в обслуживании.

Контроль системных файлов Windows

В стандартной конфигурации FIM повторяющиеся объявления %WINDIR%\SysNative и %WINDIR%\System32 после нормализации попадали на один путь. Последняя запись заменяла фильтр предыдущей, из-за чего перечисленные в конфигурации 19 системных исполняемых файлов, включая cmd.exe, lsass.exe и sethc.exe, оставались вне этого контроля.

В конфигурации из тега 4.14.9 для %WINDIR%\System32 оставлена одна запись с объединённым фильтром. Это исправление поставляемых настроек Windows, а не подтверждение того, что обновление автоматически заменит любую локально изменённую конфигурацию: такого обещания в рассмотренных источниках нет.

Новость подготовлена по официальному выпуску и связанным материалам проекта; собственного испытательного стенда Удельты для 4.14.9 не было. Иллюстрация — демонстрационный экран из официальной документации Wazuh, сохранённый в каталоге; она не подтверждает тестирование этой версии.