🇰🇷 한글 설명
Wazuh의 cluster-authenticated 노드가 WAZUH_PATH 외부의 파일을 삭제할 수 있는 취약점입니다. 특정 요청 시 파일 이름에 대한 검증이 누락되어, 공격자가 절대 경로 또는 경로 탐색 시퀀스를 사용하여 설정 파일이나 인증서 등을 삭제할 수 있습니다. 이로 인해 매니저 서비스 중단, API 토큰 무효화 및 클러스터 연결 장애가 발생할 수 있습니다.
💡 쉬운 설명
해커가 권한을 가진 노드를 통해 시스템의 중요한 설정 파일이나 보안 인증서를 마음대로 지울 수 있는 문제입니다. 파일이 삭제되면 보안 시스템이 멈추거나 관리자 접속이 차단될 수 있습니다.
🇺🇸 원문 (English)
Wazuh is a free and open source platform used for threat prevention, detection, and response. From 4.0.0 until 4.14.6 and 5.0.0-beta2, WazuhCommon.end_receiving_file() in framework/wazuh/core/cluster/common.py allows a cluster-authenticated node to delete files outside WAZUH_PATH. A syn_i_w_m_e request with an unknown task_id reaches the cleanup branch, where an attacker-controlled filename is passed to os.path.join without canonicalization or confinement. Absolute paths and traversal sequences can therefore target files such as ossec.conf, jwt_secret.json, TLS certificates, and ruleset files that are accessible to the Wazuh manager process. Deletion can disable the manager, invalidate API tokens, or disrupt cluster and API connectivity. This issue is fixed in versions 4.14.6 and 5.0.0-beta2.
📍 영향받는 시스템
Wazuh 4.0.0 ~ 4.14.6 및 5.0.0-beta2
⚔️ 공격 벡터
클러스터 인증된 노드에서 조작된 파일 경로를 포함한 syn_i_w_m_e 요청 전송
🛡️ 대응 방법
Wazuh를 4.14.6 또는 5.0.0-beta2 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.14.6 미만이거나 5.0.0-beta2 미만인 경우 취약한 상태입니다.
dpkg -l | grep wazuh 2>/dev/null || rpm -qa | grep wazuh 2>/dev/null