🇰🇷 한글 설명
Wazuh의 특정 버전에서 cluster peer가 제어하는 file_path 키를 검증 없이 신뢰하여 발생하는 경로 조작 취약점입니다. 공격자가 조작된 아카이브를 업로드하여 ossec.conf와 같은 보안 민감 파일을 덮어쓸 수 있으며, 이를 통해 원격 코드 실행이 가능합니다.
💡 쉬운 설명
Wazuh 시스템 내부에서 파일 경로를 확인하는 과정에 허점이 있어, 나쁜 의도를 가진 사용자가 시스템의 중요한 설정 파일을 마음대로 바꿀 수 있습니다. 이 설정 파일을 바꾸면 공격자가 시스템에 명령을 내릴 수 있게 됩니다.
🇺🇸 원문 (English)
Wazuh is a free and open source platform used for threat prevention, detection, and response. From 4.3.0 until 4.14.6 and 5.0.0-beta3, the non-merged branch of process_files_from_worker() in framework/wazuh/core/cluster/master.py trusts a peer-controlled file_path key from files_metadata.json. The destination is joined to WAZUH_PATH without proving that it remains inside the directory selected by cluster_item_key. A cluster peer holding the shared Fernet key can upload a crafted extra-valid archive and overwrite security-sensitive files such as /var/ossec/etc/ossec.conf. Replacing ossec.conf can configure root-executed commands and lead to code execution after a service reload. This issue is fixed in versions 4.14.6 and 5.0.0-beta3.
📍 영향받는 시스템
Wazuh 4.3.0 ~ 4.14.6 및 5.0.0-beta3 (non-merged branch)
⚔️ 공격 벡터
공유된 Fernet 키를 가진 클러스터 피어가 조작된 아카이브를 업로드하여 시스템 파일을 덮어쓰는 방식
🛡️ 대응 방법
Wazuh를 최신 패치 버전인 4.14.6 또는 5.0.0-beta3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 현재 설치된 Wazuh의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
dpkg -l | grep wazuh || rpm -qa | grep wazuh