🇰🇷 한글 설명
9.0 미만 버전의 Splunk Enterprise 배포 서버에서 인증 없이 포워더 번들을 다운로드할 수 있는 취약점이 발견되었습니다. 이를 해결하려면 배포 서버를 9.0 이상으로 업데이트하고 배포 서버와 클라이언트 간의 인증을 구성해야 합니다. 또한, 인증 활성화 전 관리 대상인 모든 Universal Forwarder를 9.0 이상으로 업데이트해야 합니다.
💡 쉬운 설명
해커가 아이디나 비밀번호 없이도 Splunk 서버의 중요한 설정 파일을 몰래 가져갈 수 있는 보안 구멍이 있습니다. 이를 막으려면 서버 소프트웨어를 최신 버전으로 바꾸고 반드시 로그인을 거치도록 설정을 변경해야 합니다.
🇺🇸 원문 (English)
Splunk Enterprise deployment servers in versions before 9.0 allow unauthenticated downloading of forwarder bundles. Remediation requires you to update the deployment server to version 9.0 and Configure authentication for deployment servers and clients (https://docs.splunk.com/Documentation/Splunk/9.0.0/Security/ConfigDSDCAuthEnhancements#Configure_authentication_for_deployment_servers_and_clients). Once enabled, deployment servers can manage only Universal Forwarder versions 9.0 and higher. Though the vulnerability does not directly affect Universal Forwarders, remediation requires updating all Universal Forwarders that the deployment server manages to version 9.0 or higher prior to enabling the remediation.
📍 영향받는 시스템
Splunk Enterprise deployment servers (version 9.0 미만)
⚔️ 공격 벡터
인증되지 않은 사용자가 네트워크를 통해 배포 서버의 포워더 번들을 직접 다운로드
🛡️ 대응 방법
배포 서버를 9.0 이상으로 업데이트하고, 모든 관리 대상 Universal Forwarder를 9.0 이상으로 업데이트한 후 배포 서버/클라이언트 인증을 활성화함
🔧 검증 코드
출력된 버전 정보가 9.0.0 미만인 경우 해당 취약점에 노출된 상태입니다.
splunk version | grep -E 'Splunk Enterprise/.*'