🇰🇷 한글 설명
Splunk 4.2.x 버전의 mappy.py가 mappy 명령어 사용을 제대로 제한하지 않아, 인증된 관리자가 sys 모듈을 통해 임의의 Python 코드를 실행할 수 있는 취약점입니다. CSRF 공격으로도 악용 가능합니다.
💡 쉬운 설명
Splunk 로그 분석 소프트웨어에서 특정 명령어(mappy)가 잘못된 제한으로 인해 관리자가 악의적인 코드를 실행할 수 있는 보안 문제입니다. 정상적으로 보이는 웹 요청을 통해 공격자가 원하는 코드를 몰래 실행시킬 수 있습니다.
🇺🇸 원문 (English)
mappy.py in Splunk Web in Splunk 4.2.x before 4.2.5 does not properly restrict use of the mappy command to access Python classes, which allows remote authenticated administrators to execute arbitrary code by leveraging the sys module in a request to the search application, as demonstrated by a cross-site request forgery (CSRF) attack, aka SPL-45172.
📍 영향받는 시스템
Splunk Web 4.2.0 ~ 4.2.4 (4.2.5 이상에서 패치됨)
⚔️ 공격 벡터
인증된 관리자의 계정으로 CSRF 공격 또는 직접 mappy 명령어를 이용한 검색 요청을 통해 sys 모듈 접근 및 임의 코드 실행
🛡️ 대응 방법
Splunk를 4.2.5 이상으로 업그레이드하거나, mappy 명령어 사용 권한을 제한하고 관리 인터페이스 접근을 IP 화이트리스팅으로 제어
🔧 검증 코드
Splunk 버전이 4.2.5 이상인지 확인하고, 4.2.4 이하인 경우 업그레이드 필요
splunkd show properties | grep -i version && curl -s http://localhost:8089/services/server/info | grep -oP '(?<=<content><dict><item name="version"><text>)[^<]+'