🇰🇷 한글 설명
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 권한이 낮은 사용자가 관리자용 검색 작업의 고유 ID(SID)를 추측하여 민감한 검색 결과에 접근할 수 있는 취약점입니다. 관리자나 Power 역할을 보유하지 않은 사용자라도 SID를 알면 백그라운드에서 실행 중인 관리자 검색 결과를 탈취할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 관리자가 몰래 실행 중인 검색 작업의 이름(ID)을 때려 맞추면, 그 검색 결과 내용을 훔쳐볼 수 있는 문제입니다. 이를 통해 시스템의 중요한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 9.4.4, 9.3.6, and 9.2.8, and Splunk Cloud Platform versions below 9.3.2411.111, 9.3.2408.119, and 9.2.2406.122, a low-privileged user that does not hold the admin or power Splunk roles could access sensitive search results if Splunk Enterprise runs an administrative search job in the background. If the low privileged user guesses the search job’s unique Search ID (SID), the user could retrieve the results of that job, potentially exposing sensitive search results. For more information see https://help.splunk.com/en/splunk-enterprise/search/search-manual/10.0/manage-jobs/about-jobs-and-job-management and https://help.splunk.com/en/splunk-enterprise/search/search-manual/10.0/manage-jobs/manage-search-jobs.
📍 영향받는 시스템
Splunk Enterprise < 9.4.4, 9.3.6, 9.2.8; Splunk Cloud Platform < 9.3.2411.111, 9.3.2408.119, 9.2.2406.122
⚔️ 공격 벡터
낮은 권한의 사용자가 관리자 검색 작업의 고유 Search ID(SID)를 추측하여 결과 데이터에 접근
🛡️ 대응 방법
Splunk Enterprise를 9.4.4, 9.3.6, 9.2.8 이상 버전으로, Splunk Cloud Platform을 지정된 최신 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 보안 패치 버전보다 낮은지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/Cloud (9\.[0-4]\.[0-7]|9\.[3]\.[2408|2411|2406])'