🇰🇷 한글 설명
Wazuh의 DecodeWinevt 함수(src/analysisd/decoders/winevtchannel.c)에서 이름 없는 Windows EventChannel Data 요소의 내용을 고정 크기 힙 버퍼 join_data(65,535바이트)에 누적할 때, 버퍼 용량(OS_MAXSTR)이 아닌 누적된 내용 길이를 snprintf 크기로 전달하여 힙 버퍼 오버플로우가 발생합니다. 인증된 에이전트가 이를 악용하면 wazuh-analysisd 프로세스가 종료되어 해당 매니저가 처리하는 모든 에이전트의 로그 수집이 중단됩니다. 4.14.7 버전에서 수정되었습니다.
💡 쉬운 설명
Wazuh 보안 관리 서버에 등록된 에이전트가 특수하게 조작된 Windows 이벤트 메시지를 보내면 서버 프로세스가 비정상 종료될 수 있습니다. 그 결과 해당 서버가 관리하는 모든 장비의 로그 수집이 멈춥니다.
🇺🇸 원문 (English)
Wazuh is an open-source security platform providing unified XDR and SIEM protection for endpoints and cloud workloads. DecodeWinevt in src/analysisd/decoders/winevtchannel.c accumulates unnamed Windows EventChannel Data element contents into the fixed 65,535-byte join_data heap buffer but passes the growing content length, rather than the OS_MAXSTR buffer capacity, as the snprintf size. An enrolled agent can submit an EventChannel message containing four maximum-sized unnamed Data elements, causing the fourth accumulation to write beyond join_data and corrupt adjacent heap metadata. The subsequent free of join_data2 causes the wazuh-analysisd process to terminate, stopping log ingestion for all agents handled by that manager. This vulnerability is fixed in 4.14.7.
📍 영향받는 시스템
Wazuh 4.14.7 미만 버전의 Wazuh 매니저(wazuh-analysisd)
⚔️ 공격 벡터
인증된 Wazuh 에이전트가 최대 크기의 이름 없는 Data 요소 4개를 포함한 EventChannel 메시지를 전송하여 힙 메모리를 손상시킴
🛡️ 대응 방법
Wazuh 4.14.7 이상으로 업데이트
🔧 검증 코드
출력된 버전이 4.14.7 미만이면 취약하므로 4.14.7 이상으로 업데이트가 필요하며, 4.14.7 이상이면 수정된 버전입니다.
/var/ossec/bin/wazuh-control info -v 2>/dev/null | grep -i wazuh