🇰🇷 한글 설명
Wazuh의 API 미들웨어에서 인증 전 사용자 이름을 검증 없이 로그에 기록할 때 제어 문자를 중립화하지 않는 취약점이 발견되었습니다. 공격자는 사용자 이름에 줄바꿈 문자를 포함하여 로그를 위조하거나 활동을 은폐하고, 로그를 소비하는 시스템을 오염시킬 수 있습니다.
💡 쉬운 설명
로그인 시 아이디 칸에 특수 문자를 넣어 가짜 로그 기록을 만들어낼 수 있는 문제입니다. 이를 통해 해커가 자신의 침입 흔적을 지우거나 다른 로그를 조작할 수 있습니다.
🇺🇸 원문 (English)
Wazuh is a free and open source platform used for threat prevention, detection, and response. From 4.4.0 until 4.14.6 and 5.0.0-beta2, api/api/middlewares.py decodes the Basic authentication username before credential validation and passes it to the access logger without neutralizing control characters. api/api/alogging.py interpolates that value into the plain-text API log. An unauthenticated attacker can include carriage returns or line feeds in the username to forge entries, obscure activity, or poison systems that consume the plain-text audit log. The JSON log format is not affected because JSON serialization escapes these characters. This issue is fixed in versions 4.14.6 and 5.0.0-beta2.
📍 영향받는 시스템
Wazuh 4.4.0 ~ 4.14.6 및 5.0.0-beta2
⚔️ 공격 벡터
인증되지 않은 공격자가 API 요청의 Basic authentication username 필드에 줄바꿈 문자(CRLF)를 삽입하여 공격
🛡️ 대응 방법
Wazuh를 4.14.6 또는 5.0.0-beta2 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 4.14.6 미만인지 또는 5.0.0-beta2 미만인지 확인하여 취약 여부를 판단합니다.
wazuh-manager --version 2>/dev/null || dpkg -l | grep wazuh