🇰🇷 한글 설명
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 _internal 인덱스에 접근 권한이 있는 사용자가 conf.log 파일을 통해 SAML 설정 정보를 평문으로 확인할 수 있는 취약점이 발견되었습니다. 이는 속성 쿼리 요청(AQR) 또는 인증 확장 기능 설정에 따라 발생할 수 있습니다.
💡 쉬운 설명
Splunk 시스템의 로그 파일에 중요한 로그인 보안 정보가 암호화되지 않은 글자로 남게 되는 문제입니다. 권한이 있는 사용자가 이 로그를 보면 시스템의 보안 설정값을 그대로 읽을 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.2.0, 10.0.2, 9.4.7, 9.3.8, and 9.2.11, and Splunk Cloud Platform versions below 10.2.2510.0, 10.1.2507.11, 10.0.2503.9, and 9.3.2411.120, a user of a Splunk Search Head Cluster (SHC) deployment who holds a role with access to the the Splunk _internal index could view the Security Assertion Markup Language (SAML) configurations for Attribute query requests (AQRs) or Authentication extensions in plain text within the conf.log file, depending on which feature is configured.
📍 영향받는 시스템
Splunk Enterprise (< 10.2.0, 10.0.2, 9.4.7, 9.3.8, 9.2.11) 및 Splunk Cloud Platform (< 10.2.2510.0, 10.1.2507.11, 10.0.2503.9, 9.3.2411.120)
⚔️ 공격 벡터
내부 인덱스(_internal) 접근 권한을 가진 사용자가 로그 파일(conf.log)을 조회하여 민감한 SAML 정보를 탈취
🛡️ 대응 방법
취약점이 해결된 최신 버전의 Splunk Enterprise 또는 Splunk Cloud Platform으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 나타나면 해당 버전이 설치되어 있음을 의미합니다.
splunk version | grep -E '10.2.0|10.0.2|9.4.7|9.3.8|9.2.11'