🇰🇷 한글 설명
Splunk Enterprise 및 Universal Forwarder 9.0 미만 버전의 CLI에서 원격 인스턴스 연결 시 기본적으로 TLS 인증서를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 중간자 공격(MitM)을 통한 데이터 탈취 위험이 존재합니다.
💡 쉬운 설명
Splunk 관리 도구가 상대방이 진짜인지 확인하는 과정(인증서 검사)을 생략하여, 해커가 중간에서 통신을 가로챌 수 있는 문제입니다. 보안 연결을 할 때 상대방의 신원을 제대로 확인하지 않는 것이 원인입니다.
🇺🇸 원문 (English)
In Splunk Enterprise and Universal Forwarder versions before 9.0, the Splunk command-line interface (CLI) did not validate TLS certificates while connecting to a remote Splunk platform instance by default. After updating to version 9.0, see Configure TLS host name validation for the Splunk CLI https://docs.splunk.com/Documentation/Splunk/9.0.0/Security/EnableTLSCertHostnameValidation#Configure_TLS_host_name_validation_for_the_Splunk_CLI to enable the remediation. The vulnerability does not affect the Splunk Cloud Platform. At the time of publishing, we have no evidence of exploitation of this vulnerability by external parties.
The issue requires conditions beyond the control of a potential bad actor such as a machine-in-the-middle attack. Hence, Splunk rates the complexity of the attack as High.
📍 영향받는 시스템
Splunk Enterprise 및 Universal Forwarder 9.0 미만 버전 (Splunk Cloud Platform 제외)
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle, MitM)을 통한 통신 가로채기
🛡️ 대응 방법
Splunk를 9.0 이상 버전으로 업데이트하고, CLI 설정에서 TLS 호스트 이름 검증을 활성화하십시오.
🔧 검증 코드
출력 결과가 'Vulnerable'이면 9.0 미만 버전이므로 취약하며, 'Safe'이면 안전한 버전입니다.
splunk version | grep -E 'Splunk Enterprise|Universal Forwarder' | awk '{print $3}' | awk -F. '{print $1}' | awk '{if ($1 < 9) print "Vulnerable"; else print "Safe"}'