🇰🇷 한글 설명
Splunk Enterprise 8.2.9 및 8.1.12 미만 버전에서 rex 검색 명령어가 필드 이름을 처리하는 방식의 결함으로 인해 SPL 보안 가드레일을 우회할 수 있습니다. 공격자가 피해자를 피싱하여 브라우저 내에서 특정 요청을 실행하도록 유도해야 공격이 가능합니다.
💡 쉬운 설명
Splunk의 검색 보안 규칙을 속여서 위험한 명령어를 실행할 수 있는 취약점입니다. 공격자가 직접 실행하는 것이 아니라, 사용자가 속아서 특정 링크를 클릭하게 만들어야 공격이 성립됩니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 8.2.9 and 8.1.12, the way that the rex search command handles field names lets an attacker bypass SPL safeguards for risky commands https://docs.splunk.com/Documentation/SplunkCloud/latest/Security/SPLsafeguards . The vulnerability requires the attacker to phish the victim by tricking them into initiating a request within their browser. The attacker cannot exploit the vulnerability at will.
📍 영향받는 시스템
Splunk Enterprise 8.2.9 미만 및 8.1.12 미만 버전
⚔️ 공격 벡터
사용자를 속여 브라우저에서 특정 요청을 실행하게 만드는 피싱 공격
🛡️ 대응 방법
Splunk Enterprise를 8.2.9 또는 8.1.12 이상의 최신 보안 패치 버전으로 업데이트
🔧 검증 코드
출력된 버전이 8.2.9 미만이거나 8.1.12 미만이면 취약한 상태입니다.
splunk version | grep -E '8.2\.(?<!9)|8.1\.(?<!12)'