🇰🇷 한글 설명
Wazuh의 특정 버전에서 분산 API 병합 과정 중 클러스터 워커의 JSON 응답 내 sort_casting 필드를 검증 없이 신뢰하는 취약점이 발견되었습니다. 공격자가 제어하는 워커 노드가 악성 Python 코드를 포함한 응답을 보낼 경우, 마스터 노드에서 해당 코드가 루트 권한으로 실행될 수 있습니다.
💡 쉬운 설명
보안 플랫폼인 Wazuh의 관리자 컴퓨터가 연결된 하위 컴퓨터로부터 받은 데이터를 검사 없이 실행하여 발생하는 문제입니다. 해커가 하위 컴퓨터를 장악하면 관리자 컴퓨터의 모든 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Wazuh is a free and open source platform used for threat prevention, detection, and response. From 4.0.0 until 4.14.6 and 5.0.0-beta2, AffectedItemsWazuhResult.merge() in framework/wazuh/core/results.py trusts the sort_casting field in a cluster worker's JSON response. During a distributed API merge, attacker-controlled type names are resolved through Python builtins without an allowlist. A compromised worker can set sort_casting to exec and place Python source in affected_items, causing the master to execute the payload as root when responses from multiple nodes are merged. This issue is fixed in versions 4.14.6 and 5.0.0-beta2.
📍 영향받는 시스템
Wazuh 4.0.0 ~ 4.14.6 및 5.0.0-beta2
⚔️ 공격 벡터
신뢰할 수 없는 클러스터 워커 노드가 조작된 JSON 응답을 마스터 노드로 전송하여 Python 내장 함수를 통한 원격 코드 실행(RCE) 유도
🛡️ 대응 방법
Wazuh를 최신 보안 패치가 적용된 버전인 4.14.6 또는 5.0.0-beta2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.14.6 미만이거나 5.0.0-beta2 미만인 경우 취약한 상태입니다.
wazuh-manager --version 2>/dev/null || dpkg -l | grep wazuh