🇰🇷 한글 설명
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 인증되지 않은 공격자가 특수하게 제작된 SPL 검색을 통해 CSRF 공격을 수행할 수 있습니다. 이 취약점을 이용하면 Splunk Search Head Cluster(SHC)의 멤버십 상태를 변경하여 캡틴이나 멤버를 제거할 수 있습니다. 공격을 위해서는 관리자 권한을 가진 사용자가 피싱을 통해 악성 요청을 실행하도록 유도해야 합니다.
💡 쉬운 설명
관리자가 악성 링크를 클릭하도록 유도하여 Splunk 시스템의 관리 권한을 조작하는 공격입니다. 이를 통해 시스템의 핵심 구성 요소를 강제로 제거하여 서비스 운영을 방해할 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 9.4.3, 9.3.5, 9.2.7 and 9.1.10, and Splunk Cloud Platform versions below 9.3.2411.104, 9.3.2408.114, and 9.2.2406.119, an unauthenticated attacker can send a specially-crafted SPL search that could change the membership state in a Splunk Search Head Cluster (SHC) through a Cross-Site Request Forgery (CSRF), potentially leading to the removal of the captain or a member of the SHC.<br><br>The vulnerability requires the attacker to phish the administrator-level victim by tricking them into initiating a request within their browser. The attacker should not be able to exploit the vulnerability at will.
📍 영향받는 시스템
Splunk Enterprise < 9.4.3, 9.3.5, 9.2.7, 9.1.10; Splunk Cloud Platform < 9.3.2411.104, 9.3.2408.114, 9.2.2406.119
⚔️ 공격 벡터
관리자를 대상으로 한 피싱을 통해 브라우저에서 악성 CSRF 요청을 실행하도록 유도
🛡️ 대응 방법
Splunk Enterprise 및 Cloud Platform을 보안 패치가 적용된 최신 버전으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 해당 버전이 영향을 받는 상태입니다.
splunk version | grep -E '9.4.3|9.3.5|9.2.7|9.1.10'