🇰🇷 한글 설명
Wazuh 4.0.0부터 4.14.5 버전까지, 낮은 권한을 가진 API 사용자가 설정 파일을 통해 클러스터 키를 탈취할 수 있는 취약점이 존재합니다. 공격자는 탈취한 키를 이용해 클러스터 워커로 위장하여 관리자 권한을 획득하고 시스템 설정을 변경하거나 에이전트를 제어할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템의 비밀 열쇠를 몰래 훔쳐낼 수 있는 보안 결함입니다. 이 열쇠를 가진 해커는 마치 관리자인 것처럼 속여서 시스템의 모든 권한을 마음대로 휘두를 수 있습니다.
🇺🇸 원문 (English)
Wazuh is a free and open source platform used for threat prevention, detection, and response. From 4.0.0 until 4.14.5, Wazuh Manager allows a low-privilege read-only API user with manager:read permission to retrieve the cluster key from the element in ossec.conf through GET /manager/configuration?raw=true. An attacker with network access to TCP port 1516 can use the disclosed Fernet key to impersonate a cluster worker and submit distributed API requests containing attacker-controlled rbac_permissions with rbac_mode set to black. Because the master trusts the worker-supplied authorization context, the attacker can create users, assign administrator roles, access credentials and API tokens, modify configuration, and execute actions across agents. This issue is fixed in version 4.14.5.
📍 영향받는 시스템
Wazuh Manager 4.0.0 ~ 4.14.5
⚔️ 공격 벡터
TCP 1516 포트를 통해 API 요청을 보내 클러스터 키를 탈취한 후, 워커 노드로 위장하여 권한 상승 공격 수행
🛡️ 대응 방법
Wazuh를 최신 보안 패치가 적용된 버전인 4.14.5 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.14.5 미만인 경우 해당 취약점에 노출된 상태입니다.
wazuh-manager --version 2>/dev/null || dpkg -l | grep wazuh | awk '{print $3}'