Wazuh Update auf 4.12 kann in Amazon Linux zu Problemen führen
Bei einem unserer Kunden die rein in AWS arbeiten, haben wir das neueste Update von Wazuh 4.12 eingespielt, nachdem alle unsere internen Tests (basierend auf Ubuntu) erfolgreich verlaufen sind.
Da die AMI auf Amazon Linux2 (CentOS) basiert, lief hier das Update via
yum update
… nicht ganz so rund.
Erst eine Warnung dass Wazuh-Indexer nicht läuft und im Log ein Java-Fehler
[2025-05-08T12:47:58,329][ERROR][o.o.b.OpenSearchUncaughtExceptionHandler] [node-1] uncaught exception in thread [main]
org.opensearch.bootstrap.StartupException: java.lang.IllegalStateException: jar hell!
class: org.apache.lucene.search.join.BaseGlobalOrdinalScorer
jar1: /usr/share/wazuh-indexer/lib/lucene-join-9.12.1.jar
jar2: /usr/share/wazuh-indexer/lib/lucene-join-9.11.1.jar
at org.opensearch.bootstrap.OpenSearch.init(OpenSearch.java:185) ~[opensearch-2.19.1.jar:2.19.1]
at org.opensearch.bootstrap.OpenSearch.execute(OpenSearch.java:172) ~[opensearch-2.19.1.jar:2.19.1]
at org.opensearch.cli.EnvironmentAwareCommand.execute(EnvironmentAwareCommand.java:104) ~[opensearch-2.19.1.jar:2.19.1]
at org.opensearch.cli.Command.mainWithoutErrorHandling(Command.java:138) ~[opensearch-cli-2.19.1.jar:2.19.1]
at org.opensearch.cli.Command.main(Command.java:101) ~[opensearch-cli-2.19.1.jar:2.19.1]
at org.opensearch.bootstrap.OpenSearch.main(OpenSearch.java:138) ~[opensearch-2.19.1.jar:2.19.1]
at org.opensearch.bootstrap.OpenSearch.main(OpenSearch.java:104) ~[opensearch-2.19.1.jar:2.19.1]
Caused by: java.lang.IllegalStateException: jar hell!
class: org.apache.lucene.search.join.BaseGlobalOrdinalScorer
jar1: /usr/share/wazuh-indexer/lib/lucene-join-9.12.1.jar
jar2: /usr/share/wazuh-indexer/lib/lucene-join-9.11.1.jar
at org.opensearch.bootstrap.JarHell.checkClass(JarHell.java:316) ~[opensearch-common-2.19.1.jar:2.19.1]
at org.opensearch.bootstrap.JarHell.checkJarHell(JarHell.java:215) ~[opensearch-common-2.19.1.jar:2.19.1]
at org.opensearch.bootstrap.JarHell.checkJarHell(JarHell.java:102) ~[opensearch-common-2.19.1.jar:2.19.1]
at org.opensearch.bootstrap.Bootstrap.setup(Bootstrap.java:227) ~[opensearch-2.19.1.jar:2.19.1]
at org.opensearch.bootstrap.Bootstrap.init(Bootstrap.java:404) ~[opensearch-2.19.1.jar:2.19.1]
at org.opensearch.bootstrap.OpenSearch.init(OpenSearch.java:181) ~[opensearch-2.19.1.jar:2.19.1]
Ein Startversuch vom Indexer und auch ein Neustart vom Linux bringt nur den Fehlerblock, mehr nicht.
Das Problem war, dass beim Upgrade sowohl wazuh-indexer 4.11 als auch wazuh-indexer 4.12 installiert waren. Herausgefunden haben wir das bei der Kontrolle der installierten Plugins via
sudo -u wazuh-dashboard /usr/share/wazuh-dashboard/bin/opensearch-dashboards-plugin list
Dabei kam die Meldung, dass das Plugin nur für Version 2.19 kompatibel ist, nicht aber für 2.16.
Mit
rpm -qa | grep wazuh
war das schnell gefunden und mit
rpm -e wazuh-indexer-4.11
yum reinstall wazuh-indexer
gefixt.
Also, Augen auf beim Update!
Quelle
Dieser Artikel stammt aus dem Wazuh-Blog von m.a.x. it (veröffentlicht am 8. Mai 2025).
Unterstützung von m.a.x. it
Bei Einführung, Betrieb und Feintuning von Wazuh (SIEM) unterstützt Sie m.a.x. it mit SIEM-Services auf Open-Source-Basis.
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
