🇰🇷 한글 설명
Wazuh 4.8.0부터 4.14.4 미만 버전의 wazuh-remoted에서 스택 기반 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 제어하는 바이트가 부호 확장(sign-extension) 문제로 인해 예상보다 긴 문자열을 생성하여 고정된 스택 버퍼를 초과하여 쓰기를 발생시킬 수 있습니다. 또한, 인증 전 단계에서 로그 증폭 공격을 통해 디스크 및 I/O 자원을 고갈시킬 수 있는 위험이 있습니다.
💡 쉬운 설명
해커가 특수한 데이터를 보내면 프로그램이 데이터를 처리하는 과정에서 메모리 공간을 넘쳐흐르게 만들어 시스템을 고장 낼 수 있습니다. 또한, 가짜 로그를 대량으로 만들어 서버의 저장 공간을 가득 채우는 공격도 가능합니다.
🇺🇸 원문 (English)
Wazuh is a free and open source platform used for threat prevention, detection, and response. From version 4.8.0 to before version 4.14.4, a stack-based buffer overflow exists in print_hex_string() in wazuh-remoted. The bug is triggered when formatting attacker-controlled bytes using sprintf(dst_buf + 2*i, "%.2x", src_buf[i]) on platforms where char is treated as signed and the compiled code sign-extends bytes before the variadic call. For input bytes such as 0xFF, the formatting can emit "ffffffff" (8 chars) instead of "ff" (2 chars), causing an out-of-bounds write past a fixed 2049-byte stack buffer. The vulnerable path is reachable remotely prior to any agent authentication/registration logic via TCP/1514 when an oversized length prefix causes the “unexpected message (hex)” diagnostic path to run. Additionally, the same unauthenticated oversized-message diagnostic path logs an attacker-controlled hex dump to /var/ossec/logs/ossec.log for each trigger, allowing remote log amplification that can degrade monitoring fidelity and consume disk/I/O. This log amplification is reachable even without triggering the sign-extension overflow (e.g., using bytes < 0x80). This issue has been patched in version 4.14.4.
📍 영향받는 시스템
Wazuh version 4.8.0 to before 4.14.4
⚔️ 공격 벡터
TCP/1514 포트를 통한 원격 비인증 공격 (Remote Unauthenticated)
🛡️ 대응 방법
Wazuh를 최신 패치 버전인 4.14.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.14.4 미만인지 확인하십시오.
dpkg -l | grep wazuh 2>/dev/null | awk '{print $3}'