🇰🇷 한글 설명
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 발생하는 CSRF 취약점으로, 인증되지 않은 공격자가 특수하게 제작된 SPL 검색 명령을 통해 Search Head Cluster의 순차적 재시작을 유도할 수 있습니다. 이로 인해 서비스 거부(DoS) 상태가 발생할 수 있으며, 공격자가 관리자 권한을 가진 사용자를 피싱하여 브라우저에서 요청을 실행하도록 유도해야 합니다.
💡 쉬운 설명
해커가 관리자를 속여 특정 링크를 클릭하게 만들면, 시스템이 자동으로 재시작되면서 서비스가 중단될 수 있는 보안 약점입니다. 관리자가 의도치 않게 명령을 실행하도록 유도해야 하므로 직접적인 공격은 어렵지만 서비스 중단을 초래할 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 9.4.3, 9.3.5, 9.2.7, and 9.1.10, and Splunk Cloud Platform versions below 9.3.2411.104, 9.3.2408.113, and 9.2.2406.119, an unauthenticated attacker could send a specially-crafted SPL search command that could trigger a rolling restart in the Search Head Cluster through a Cross-Site Request Forgery (CSRF), potentially leading to a denial of service (DoS).<br><br>The vulnerability requires the attacker to phish the administrator-level victim by tricking them into initiating a request within their browser. The attacker should not be able to exploit the vulnerability at will.<br><br>See [How rolling restart works](https://docs.splunk.com/Documentation/Splunk/9.4.2/DistSearch/RestartSHC) for more information.
📍 영향받는 시스템
Splunk Enterprise < 9.4.3, 9.3.5, 9.2.7, 9.1.10 및 Splunk Cloud Platform < 9.3.2411.104, 9.3.2408.113, 9.2.2406.119
⚔️ 공격 벡터
관리자 대상 CSRF(Cross-Site Request Forgery) 피싱 공격
🛡️ 대응 방법
Splunk를 최신 보안 패치가 적용된 버전(9.4.3, 9.3.5, 9.2.7, 9.1.10 이상 등)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있는지 확인하십시오.
splunk version | grep -E 'Splunk/9\.(4\.3|3\.5|2\.7|1\.10)'