🇰🇷 한글 설명
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 발생하는 취약점으로, 관리자 권한이 없는 낮은 권한의 사용자가 임시 디렉토리인 apptemp 내의 파일을 부적절하게 처리하여 원격 코드 실행(RCE)을 수행할 수 있습니다. 이는 임시 파일에 대한 격리 및 처리 로직이 미흡하여 발생합니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템의 임시 폴더에 악성 파일을 올려서 컴퓨터를 마음대로 조종할 수 있는 보안 구멍입니다. 시스템이 임시 파일을 안전하게 분리하지 못해서 발생하는 문제입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.2.1, 10.0.5, 9.4.10, and 9.3.11, and Splunk Cloud Platform versions below 10.4.2603.0, 10.3.2512.5, 10.2.2510.9, 10.1.2507.19, 10.0.2503.13, and 9.3.2411.127, a low-privileged user that does not hold the `admin` or `power` Splunk roles could potentially perform a Remote Code Execution (RCE) by uploading a malicious file to the `$SPLUNK_HOME/var/run/splunk/apptemp` directory due to improper handling and insufficient isolation of temporary files within the `apptemp` directory.
📍 영향받는 시스템
Splunk Enterprise (< 10.2.1, 10.0.5, 9.4.10, 9.3.11), Splunk Cloud Platform (< 10.4.2603.0, 10.3.2512.5, 10.2.2510.9, 10.1.2507.19, 10.0.2503.13, 9.3.2411.127)
⚔️ 공격 벡터
낮은 권한의 사용자가 $SPLUNK_HOME/var/run/splunk/apptemp 디렉토리에 악성 파일을 업로드하여 실행
🛡️ 대응 방법
Splunk Enterprise 및 Cloud Platform을 보안 패치가 적용된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 패치 버전(예: Enterprise 10.2.1 이상 등)인지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/Cloud|version'