🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 인증된 사용자가 'search_listener' 매개변수를 악용하여 Blind SSRF 공격을 수행할 수 있습니다. 공격자는 서버 내부의 응답을 직접 볼 수는 없으나, 환경 내의 다른 취약점과 결합하여 내부 네트워크로 요청을 보낼 수 있습니다.
💡 쉬운 설명
로그 분석 도구인 Splunk에 로그인한 사용자가 서버를 조종해 내부 네트워크의 다른 컴퓨터에 몰래 접속을 시도할 수 있는 문제입니다. 직접적인 데이터 탈취는 어렵지만, 내부망 침투를 위한 징검다리로 사용될 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 8.1.13, 8.2.10, and 9.0.4, the ‘search_listener’ parameter in a search allows for a blind server-side request forgery (SSRF) by an authenticated user. The initiator of the request cannot see the response without the presence of an additional vulnerability within the environment.
📍 영향받는 시스템
Splunk Enterprise 8.1.13 미만, 8.2.10 미만, 9.0.4 미만 버전
⚔️ 공격 벡터
인증된 사용자가 검색 매개변수인 'search_listener'에 조작된 URL을 입력하여 서버 측 요청 위조(SSRF) 유도
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(8.1.13, 8.2.10, 9.0.4 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 현재 설치된 버전이 출력된다면 취약한 버전이므로 즉시 업데이트가 필요합니다.
splunk version | grep -E '8.1\.(?!13)|8.2\.(?!10)|9.0\.(?!4)'