🇰🇷 한글 설명
Splunk Enterprise 9.0 미만 버전의 대시보드에서 교차 출처 요청(cross-origin request) 시 폼 토큰에 위험한 검색 명령어를 주입할 수 있는 취약점이 존재합니다. 이 취약점을 이용하면 SPL(Splunk Processing Language)의 위험 명령어 방어 체계를 우회할 수 있습니다. 다만, 이 공격은 브라우저 기반으로 이루어지므로 공격자가 임의로 실행하기에는 제약이 있습니다.
💡 쉬운 설명
Splunk 대시보드에서 사용자가 입력한 값이 검증 없이 검색창에 전달될 때, 악의적인 명령어가 섞여 들어갈 수 있는 문제입니다. 공격자가 사용자의 브라우저를 통해 몰래 위험한 명령을 실행하도록 유도하는 방식입니다.
🇺🇸 원문 (English)
Dashboards in Splunk Enterprise versions before 9.0 might let an attacker inject risky search commands into a form token when the token is used in a query in a cross-origin request. The result bypasses SPL safeguards for risky commands. See New capabilities can limit access to some custom and potentially risky commands (https://docs.splunk.com/Documentation/Splunk/9.0.0/Security/SPLsafeguards#New_capabilities_can_limit_access_to_some_custom_and_potentially_risky_commands) for more information. Note that the attack is browser-based and an attacker cannot exploit it at will.
📍 영향받는 시스템
Splunk Enterprise 9.0 미만 모든 버전
⚔️ 공격 벡터
사용자의 브라우저를 이용한 교차 출처 요청(Cross-Origin Request) 기반의 검색 명령어 주입
🛡️ 대응 방법
Splunk Enterprise를 9.0 이상의 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
출력 결과에 Splunk Enterprise 버전이 9.0 미만(예: 8.x.x)으로 표시되면 취약한 버전입니다.
splunk --version 2>/dev/null | grep -E 'Splunk Enterprise/[0-8]\.'