🇰🇷 한글 설명
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 발생하는 취약점입니다. 'admin' 또는 'power' 권한이 없는 저권한 사용자가 특정 알람에 대해 읽기 전용 권한만 가지고 있더라도, 해당 알람이 발생했을 때 알람 억제(suppression) 기능을 사용하여 알람을 차단할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 관리자가 아니더라도 중요한 보안 알람이 울리지 못하도록 몰래 꺼버릴 수 있는 문제입니다. 이로 인해 실제 보안 사고가 발생해도 시스템이 경고를 보내지 않을 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 9.4.2, 9.3.5, 9.2.6, and 9.1.9 and Splunk Cloud Platform versions below 9.3.2411.103, 9.3.2408.112, and 9.2.2406.119, a low-privileged user that does not hold the "admin" or "power" Splunk roles, and has read-only access to a specific alert, could suppress that alert when it triggers. See [Define alert suppression groups to throttle sets of similar alerts](https://help.splunk.com/en/splunk-enterprise/alert-and-respond/alerting-manual/9.4/manage-alert-trigger-conditions-and-throttling/define-alert-suppression-groups-to-throttle-sets-of-similar-alerts).
📍 영향받는 시스템
Splunk Enterprise (< 9.4.2, 9.3.5, 9.2.6, 9.1.9), Splunk Cloud Platform (< 9.3.2411.103, 9.3.2408.112, 9.2.2406.119)
⚔️ 공격 벡터
저권한 사용자가 읽기 권한이 있는 알람의 설정에 접근하여 알람 억제(suppression) 그룹을 구성함
🛡️ 대응 방법
Splunk를 보안 패치가 적용된 최신 버전(Enterprise 9.4.2, 9.3.5 이상 등)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위에 해당되는지 확인하십시오.
splunk version | grep -E 'Splunk/9\.(4\.2|3\.5|2\.6|1\.9)'