🇰🇷 한글 설명
Wazuh의 특정 버전에서 compare_wazuh_versions() 함수가 공격자가 제어하는 enrollment V: 필드를 10바이트 스택 버퍼로 복사할 때 널 종료 처리를 누락하는 취약점이 발견되었습니다. 인증 전 단계에서 TCP 1515 포트를 통해 접근 가능하며, 특정 길이 이상의 버전 문자열을 전송할 경우 메모리 경계를 넘어 읽기/쓰기가 발생하여 원격 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
Wazuh 프로그램의 특정 부분에서 입력값을 처리할 때 메모리 공간을 제대로 관리하지 못하는 문제가 있습니다. 공격자가 특수하게 조작된 데이터를 보내면 프로그램이 갑자기 멈추거나 꺼질 수 있습니다.
🇺🇸 원문 (English)
Wazuh is a free and open source platform used for threat prevention, detection, and response. From 4.5.0 until 4.14.6 and 5.0.0-beta2, compare_wazuh_versions() in src/shared/version_op.c copies the attacker-controlled enrollment V: field into a 10-byte stack buffer with strncpy() but does not explicitly terminate the buffer. The function is reachable before authentication through wazuh-authd on TCP port 1515 when anonymous TLS enrollment is enabled. A version string of at least nine non-null bytes can cause strchr() and strtok() to read beyond ver2 and can make strtok() write a null byte into adjacent stack memory, allowing a remote denial of service. This issue is fixed in versions 4.14.6 and 5.0.0-beta2.
📍 영향받는 시스템
Wazuh 4.5.0 ~ 4.14.6 및 5.0.0-beta2
⚔️ 공격 벡터
TCP 1515 포트의 wazuh-authd를 통해 인증 없이 익명 TLS 등록 기능을 이용한 원격 공격
🛡️ 대응 방법
Wazuh를 최신 패치 버전인 4.14.6 또는 5.0.0-beta2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.14.6 미만이거나 5.0.0-beta2 미만인 경우 취약한 상태입니다.
wazuh-agent --version 2>/dev/null || wazuh-manager --version 2>/dev/null