🇰🇷 한글 설명
Splunk Enterprise, Cloud Platform, Secure Gateway의 특정 구버전에서 비권한 사용자가 원격 코드 실행(RCE)을 수행할 수 있는 취약점이 발견되었습니다. 이는 'jsonpickle' 라이브러리를 통한 KV Store 데이터의 부주의한 역직렬화 과정에서 발생하며, 악의적인 JSON 데이터를 통해 임의의 Python 객체가 재구성될 수 있습니다.
💡 쉬운 설명
Splunk 소프트웨어의 구버전을 사용하면, 관리자 권한이 없는 일반 사용자도 시스템을 해킹하여 원격에서 코드를 실행할 수 있습니다. 이는 데이터 처리 과정의 보안 결함으로 인해 악성 코드가 시스템에 침투할 수 있기 때문입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.2.4, 10.0.7, 9.4.12, and 9.3.13, Splunk Cloud Platform versions below 10.3.2512.12, 10.2.2510.14, 10.1.2507.22, and 9.3.2411.132, and Splunk Secure Gateway versions below 3.10.6, 3.9.20, and 3.8.67, a low-privileged user that does not hold the 'admin' or 'power' Splunk roles could perform a Remote Code Execution (RCE) through the Splunk Secure Gateway app.<br><br>The Remote Code Execution is possible because of unsafe deserialization of App Key Value Store (KV Store) data through the ‘jsonpickle’ Python library, which reconstructs arbitrary Python objects from specially crafted JavaScript Object Notation (JSON) without adequate validation.
📍 영향받는 시스템
Splunk Enterprise (<10.2.4, 10.0.7, 9.4.12, 9.3.13), Splunk Cloud Platform (<10.3.2512.12 등), Splunk Secure Gateway (<3.10.6, 3.9.20, 3.8.67)
⚔️ 공격 벡터
Splunk Secure Gateway 앱을 통해 KV Store의 JSON 데이터를 역직렬화하는 과정에 악성 페이로드를 주입하여 RCE 발생
🛡️ 대응 방법
Splunk Enterprise, Cloud Platform, Secure Gateway를 각각 권장된 최신 보안 패치 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
명령어 실행 시 해당 취약한 버전 번호가 출력되면 패치가 필요하며, 결과가 없거나 최신 버전이 표시되면 안전합니다.
splunk version | grep -E '10\.2\.3|10\.0\.6|9\.4\.11|9\.3\.12|10\.3\.2512\.11|10\.2\.2510\.13|10\.1\.2507\.21|9\.3\.2411\.131|3\.10\.5|3\.9\.19|3\.8\.66'