🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'pivot' SPL 명령어를 사용할 때 저장된 검색 작업을 통해 SPL 보안 제어 장치를 우회할 수 있는 취약점이 발견되었습니다. 인증된 사용자가 악의적인 저장된 작업을 생성하고, 권한이 더 높은 사용자가 브라우저를 통해 해당 요청을 실행하도록 유도함으로써 공격이 성립됩니다.
💡 쉬운 설명
권한이 낮은 사용자가 몰래 숨겨진 명령어를 만들어 두고, 관리자가 실수로 이를 클릭하게 만들어 보안 규칙을 무력화하는 공격입니다. 관리자의 권한을 이용해 시스템에 위험한 명령을 실행할 수 있게 됩니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 8.1.13, 8.2.10, and 9.0.4, the ‘pivot’ search processing language (SPL) command lets a search bypass SPL safeguards for risky commands using a saved search job. The vulnerability requires an authenticated user to craft the saved job and a higher privileged user to initiate a request within their browser.
📍 영향받는 시스템
Splunk Enterprise 8.1.13 미만, 8.2.10 미만, 9.0.4 미만 버전
⚔️ 공격 벡터
인증된 공격자가 조작된 저장된 검색 작업을 생성한 후, 고권한 사용자가 브라우저를 통해 이를 실행하도록 유도하는 사회공학적/교차 사이트 요청 방식
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(8.1.13, 8.2.10, 9.0.4 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과에 현재 버전이 패치된 버전(8.1.13, 8.2.10, 9.0.4)보다 낮게 표시되면 취약한 상태입니다.
splunk version | grep -E '8.1.13|8.2.10|9.0.4'