🇰🇷 한글 설명
Wazuh의 특정 버전에서 파일 무결성 모니터링(FIM) 과정 중 SQLite 쿼리 생성 시 파일 경로를 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 로컬 사용자가 특정 디렉토리에 조작된 파일명을 생성하면 UNION SELECT 구문을 주입하여 FIM 코드에서 사용하는 SELECT 결과 집합을 조작할 수 있습니다.
💡 쉬운 설명
해커가 파일 이름을 특수하게 만들어 시스템의 데이터베이스 명령어를 교묘하게 조작할 수 있는 문제입니다. 이를 통해 시스템이 파일 상태를 확인하는 과정에서 잘못된 정보를 읽게 만들 수 있습니다.
🇺🇸 원문 (English)
Wazuh is a free and open source platform used for threat prevention, detection, and response. From 4.6.0 until 4.14.6 and 5.0.0-beta3, DB::getFile() and DB::searchFile() in src/syscheckd/src/db/src/file.cpp concatenate a monitored file path into SQLite row filters. On non-Windows systems, FIMDBCreator::encodeString() does not escape the value. A local user who can create a filename in a File Integrity Monitoring directory can inject a UNION SELECT expression when wazuh-syscheckd processes or deletes that path. The confirmed primitive manipulates SELECT result sets consumed by the FIM code; stacked statements and remote code execution were not demonstrated. This issue is fixed in versions 4.14.6 and 5.0.0-beta3.
📍 영향받는 시스템
Wazuh 4.6.0 ~ 4.14.6 및 5.0.0-beta3
⚔️ 공격 벡터
로컬 사용자가 파일 무결성 모니터링 디렉토리에 조작된 파일명을 생성하여 SQLite 쿼리 주입
🛡️ 대응 방법
Wazuh를 최신 보안 패치가 적용된 버전인 4.14.6 또는 5.0.0-beta3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.14.6 미만이거나 5.0.0-beta3 미만인 경우 취약할 수 있습니다.
dpkg -l | grep wazuh 2>/dev/null | awk '{print $3}'