🇰🇷 한글 설명
Wazuh 에이전트(Windows용)의 syscheck 구성 요소에서 힙 기반 버퍼 오버플로 취약점이 발견되었습니다. 공격자가 와일드카드가 포함된 레지스트리 경로를 조작하여 고정된 크기의 버퍼를 초과하는 쓰기를 유도할 수 있으며, 이를 통해 서비스 거부(DoS) 또는 로컬 권한 상승(LPE)이 가능합니다.
💡 쉬운 설명
보안 프로그램이 컴퓨터의 설정값을 확인하는 과정에서 메모리 공간을 잘못 계산하여 발생하는 오류입니다. 해커가 특수한 이름의 폴더를 만들어 이 프로그램을 멈추게 하거나, 관리자 권한을 뺏을 수 있습니다.
🇺🇸 원문 (English)
Wazuh is a free and open source platform used for threat prevention, detection, and response. Versions 4.6.0 and above prior to 4.14.5 contain a heap-based buffer overflow vulnerability in the syscheck component of the Wazuh agent for Windows. When expanding registry paths containing wildcards (* or ?), the agent allocates a fixed-size heap buffer of 256 bytes (OS_SIZE_256). By creating a registry subkey with a maximum allowed length (255 characters) inside a monitored path, a low-privileged local attacker can force an out-of-bounds write during string concatenation. Since wazuh-agent.exe runs as NT AUTHORITY\SYSTEM, this can lead to a silent Denial of Service (blinding the agent) or potentially Local Privilege Escalation (LPE). This issue has been fixed in version 4.14.5.
📍 영향받는 시스템
Wazuh agent for Windows (version 4.6.0 이상 ~ 4.14.5 미만)
⚔️ 공격 벡터
저권한 로컬 공격자가 와일드카드가 포함된 긴 레지스트리 하위 키를 생성하여 메모리 오버플로 유도
🛡️ 대응 방법
Wazuh 에이전트를 최신 버전인 4.14.5 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위(4.6.0 ~ 4.14.4)가 출력되면 업데이트가 필요합니다.
wazuh-agent --version 2>/dev/null | grep -E '4\.(6\.|[7-9]\.|1[0-4]\.[0-4])'