CVE 데이터베이스CVE-2025-24016

최종 갱신 2026-06-17English Advisory →

CVE-2025-240169.9/CRITICALCISA KEV 등재CWE-502

Wazuh 서버 원격 코드 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2025-24016)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

wazuh

대상 컴포넌트 / 패키지

wazuh-manager, wazuh-api

권고문 발행일

2025-02-10

CVSS v3.1

9.9

CRITICAL

30일 악용확률

93.8%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Wazuh v4.4.0 이상 v4.9.1 미만 버전의 Wazuh 서버 및 클러스터 환경

파급 효과

API 접근 권한을 가진 공격자 또는 탈취된 에이전트가 분산 API(DAPI) 요청을 조작하여 Wazuh 서버에서 임의의 파이썬 코드를 실행하고 시스템을 완전히 장악할 수 있음

권장 조치

취약점이 해결된 최신 보안 패치 버전(v4.9.1 이상)으로 즉시 업그레이드를 수행하고 API 접근 제어를 강화하십시오

영향받는 제품 및 버전 범위

Wazuh v4.4.0 이상 v4.9.1 미만 버전 (v4.4.0 ~ v4.9.0)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Wazuh 개발사에서 배포한 공식 보안 패치가 적용된 v4.9.1 이상 버전으로 즉시 업그레이드를 수행해야 합니다. 아래는 데비안/우분투 계열 및 레드햇/센토스 계열 Wazuh 매니저 서버의 업그레이드 예시 명령어입니다.

bash

# Debian/Ubuntu 계열 Wazuh Manager 업그레이드
sudo apt-get update
sudo apt-get --only-upgrade install wazuh-manager -y
sudo systemctl restart wazuh-manager

bash

# RedHat/CentOS/AL2 계열 Wazuh Manager 업그레이드
sudo yum clean all
sudo yum update wazuh-manager -y
sudo systemctl restart wazuh-manager

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, Wazuh API 포트(기본값: 55000) 및 클러스터 통신 포트(기본값: 1516)에 대한 네트워크 접근을 신뢰할 수 있는 IP 대역으로만 제한하여 공격 표면을 최소화해야 합니다.

bash

# iptables를 이용한 Wazuh API(55000) 및 클러스터(1516) 포트 접근 제한 예시
# 신뢰할 수 있는 관리자 IP(예: 192.168.1.100) 및 클러스터 노드 IP만 허용
sudo iptables -A INPUT -p tcp -s 192.168.1.100 --dport 55000 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 55000 -j DROP
sudo iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 1516 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 1516 -j DROP

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

Wazuh API 로그 및 클러스터 로그에서 비정상적인 예외 처리(__unhandled_exc__)나 파이썬 코드 실행 시도가 있었는지 점검하고 현재 구동 중인 버전을 확인합니다.

bash

# 현재 설치된 Wazuh Manager 버전 확인
/var/ossec/bin/wazuh-control info

# Wazuh API 및 클러스터 로그에서 의심스러운 역직렬화 예외 키워드 검색
grep -ri '__unhandled_exc__' /var/ossec/logs/api.log /var/ossec/logs/ossec.log

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Datadog Cloud & Kubernetes Security

CISA KEV에 등재되어 실제 공격에 악용 중인 취약점이므로, Wazuh 서버를 즉시 v4.9.1 이상으로 업그레이드하고 외부 API 노출을 차단하십시오.

실행 중인 Docker 컨테이너와 Kubernetes 클러스터의 컨테이너 탈출 및 권한 상승을 실시간 감시하세요

이미지 빌드 시점뿐 아니라 실제 운영 중인 클러스터 내부의 eBPF 기반 커널 이벤트와 잘못된 IAM/RBAC 구성을 실시간으로 감사하고 경보를 받으세요.

K8s/Docker 이미지 실시간 CVE 매핑 지원

14일 무료 클라우드 보안 감사 시작하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2025-24016)은 오픈소스 보안 모니터링 플랫폼인 Wazuh의 분산 API(DAPI, Distributed API) 매개변수 처리 과정에서 발생하는 안전하지 않은 역직렬화(Unsafe Deserialization, CWE-502) 취약점입니다. Wazuh 서버 내부의 클러스터 통신 모듈(framework/wazuh/core/cluster/common.py)은 JSON 형태로 직렬화된 DAPI 매개변수를 수신한 후 as_wazuh_object 함수를 통해 역직렬화합니다. 이 과정에서 입력값에 대한 적절한 검증이 결여되어 있어, 특정 구조의 딕셔너리 객체가 주입될 경우 예외 처리 로직을 악용하여 임의의 코드가 실행되는 결함이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 API 접근 권한(탈취된 대시보드 계정 또는 클러스터 내의 다른 Wazuh 서버 권한)을 확보한 상태에서 DAPI 요청 또는 응답 메시지 내부에 검증되지 않은 악의적인 딕셔너리 데이터를 주입합니다. 구체적으로, 공격자는 역직렬화 엔진이 처리하는 과정에서 처리되지 않은 예외(__unhandled_exc__) 객체를 위조하여 전달합니다. Wazuh의 역직렬화 핸들러가 이 위조된 예외 객체를 파싱하고 평가(Evaluation)하는 과정에서, 공격자가 주입한 임의의 파이썬(Python) 코드가 Wazuh 서버 프로세스의 권한으로 실행되게 됩니다. 특정 네트워크 구성 환경에서는 침해된 에이전트(Agent)를 통해서도 이 취약점을 트리거할 수 있어 내부망 확산(Lateral Movement) 경로로 악용될 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

Wazuh는 기업의 침입 탐지, 취약점 관리, 규정 준수 모니터링을 담당하는 핵심 보안 통제 인프라입니다. 본 취약점은 CVSS 9.9의 치명적(Critical) 등급으로 평가되었으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 악용되고 있음이 확인되었습니다. 공격자가 Wazuh 서버의 제어권을 획득할 경우, 모니터링 대상 전체 인프라의 보안 로그 위변조, 탐지 규칙 무력화, 에이전트가 설치된 엔드포인트로의 2차 침투 등 기업 정보 자산 전반에 걸쳐 심각한 침해 사고를 유발할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Wazuh is a free and open source platform used for threat prevention, detection, and response. Starting in version 4.4.0 and prior to version 4.9.1, an unsafe deserialization vulnerability allows for remote code execution on Wazuh servers. DistributedAPI parameters are a serialized as JSON and deserialized using `as_wazuh_object` (in `framework/wazuh/core/cluster/common.py`). If an attacker manages to inject an unsanitized dictionary in DAPI request/response, they can forge an unhandled exception (`__unhandled_exc__`) to evaluate arbitrary python code. The vulnerability can be triggered by anybody with API access (compromised dashboard or Wazuh servers in the cluster) or, in certain configurations, even by a compromised agent. Version 4.9.1 contains a fix.

https://github.com/wazuh/wazuh/security/advisories/GHSA-hcrc-79hj-m3qh

출처: security-advisories@github.com · Exploit, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-24016

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2025-24016)

FAQ

Q1. CVE-2025-24016 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2025-24016의 기본 점수는 CVSS 9.9 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 93.8%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.