🇰🇷 한글 설명
Wazuh 4.14.0부터 4.14.6 버전에서 인증된 저권한 사용자가 매니저 설정 내의 클러스터 비밀키를 읽을 수 있는 취약점이 발견되었습니다. RBAC 규칙에 '거부(deny)' 설정이 포함되어 있더라도 업데이트 권한이 있는 것으로 잘못 판단하여 민감한 정보 마스킹 기능이 비활성화되기 때문입니다. 이로 인해 공격자는 설정 엔드포인트에 요청을 보내 ossec.conf 파일 내의 클러스터 키를 평문으로 탈취할 수 있습니다.
💡 쉬운 설명
보안 프로그램인 Wazuh에서 권한이 낮은 사용자가 원래는 볼 수 없는 중요한 비밀번호를 볼 수 있는 문제입니다. 설정을 수정하지 못하도록 막아두었음에도 불구하고, 시스템이 이를 '수정 권한이 있다'고 착각하여 비밀번호를 숨기지 않고 그대로 보여주는 오류입니다.
🇺🇸 원문 (English)
Wazuh is an open-source security platform providing unified XDR and SIEM protection for endpoints and cloud workloads. In versions 4.14.0 through 4.14.6, an authenticated low-privilege user can read the cluster secret from the manager configuration because the logic that masks sensitive values is disabled by any update-config RBAC rule, including an explicit deny. The mask_sensitive_config() decorator applies masking only when _has_update_permissions() returns false, but that gate treats a user as able to update the config whenever a manager:update_config or cluster:update_config rule exists, without ever checking whether the rule's effect is allow or deny. Because a deny rule is stored as a real entry, a read-only account that is hardened by explicitly denying config edits is counted as having update permission, which turns masking off. A single authenticated GET request to the configuration endpoint with raw=true then returns the verbatim ossec.conf XML with cluster.key in clear, whereas an otherwise identical account without the deny rule sees the value masked. This issue is fixed in version 4.14.7.
📍 영향받는 시스템
Wazuh versions 4.14.0 through 4.14.6
⚔️ 공격 벡터
인증된 저권한 사용자가 raw=true 옵션을 포함하여 구성 엔드포인트에 GET 요청을 전송
🛡️ 대응 방법
Wazuh를 버전 4.14.7 이상으로 업데이트
🔧 검증 코드
출력된 버전이 4.14.0에서 4.14.6 사이인지 확인하여 취약 여부를 판단합니다.
wazuh-manager --version 2>/dev/null || dpkg -l | grep wazuh