🇰🇷 한글 설명
Splunk MCP Server 앱 1.0.3 미만 버전에서, Splunk _internal 인덱스에 접근 권한이 있거나 mcp_tool_admin 고권한 기능을 보유한 사용자가 다른 사용자의 세션 및 인증 토큰을 평문으로 조회할 수 있습니다. 이 취약점을 악용하려면 로그 파일에 대한 로컬 접근 또는 내부 인덱스에 대한 관리자 권한이 필요하며, 기본적으로 admin 역할에만 해당 권한이 부여됩니다.
💡 쉬운 설명
Splunk 시스템 내부 기록을 볼 수 있는 권한을 가진 사용자가 다른 사람의 로그인 열쇠(토큰)를 그대로 읽을 수 있는 문제입니다. 기본적으로는 관리자만 이 기록에 접근할 수 있지만, 권한 설정이 느슨하면 위험해질 수 있습니다.
🇺🇸 원문 (English)
In Splunk MCP Server app versions below 1.0.3 , a user who holds a role with access to the Splunk `_internal` index or possesses the high-privilege capability `mcp_tool_admin` could view users session and authorization tokens in clear text.<br><br>The vulnerability would require either local access to the log files or administrative access to internal indexes, which by default only the admin role receives. <br><br>Review roles and capabilities on your instance and restrict internal index access to administrator-level roles. See [Define roles on the Splunk platform with capabilities](https://docs.splunk.com/Documentation/Splunk/latest/Security/Rolesandcapabilities) and [Connecting to MCP Server and Admin settings](https://help.splunk.com/en/splunk-enterprise/mcp-server-for-splunk-platform/connecting-to-mcp-server-and-admin-settings) in the Splunk documentation for more information.
📍 영향받는 시스템
Splunk MCP Server 앱 1.0.3 미만 버전
⚔️ 공격 벡터
_internal 인덱스 접근 권한 또는 mcp_tool_admin 권한을 가진 사용자가 내부 로그/인덱스를 조회하여 세션 및 인증 토큰을 평문으로 획득
🛡️ 대응 방법
MCP Server 앱을 1.0.3 이상으로 업데이트하고, _internal 인덱스 접근을 관리자 역할로만 제한
🔧 검증 코드
출력된 version 값이 1.0.3 미만이면 취약한 버전이므로 1.0.3 이상으로 업데이트가 필요하며, 값이 없거나 1.0.3 이상이면 패치가 적용된 상태입니다.
grep -ri 'mcp' $SPLUNK_HOME/etc/apps/*/default/app.conf 2>/dev/null | grep -i version