🇰🇷 한글 설명
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 발생하는 취약점으로, 'admin' 또는 'power' 권한이 없는 저권한 사용자가 클래식 대시보드의 드릴다운 링크에 프로토콜 상대 URL을 사용하여 외부 사이트로 리다이렉션할 수 있습니다. URL 분류기가 http/https 스킴만 인식하여 //attacker.com과 같은 형식을 검사하지 못하기 때문에 외부 탐색 경고 없이 데이터 유출이 가능합니다.
💡 쉬운 설명
권한이 낮은 사용자가 대시보드 링크를 조작하여 사용자를 몰래 외부 사이트로 보낼 수 있는 보안 허점입니다. 일반적인 보안 검사를 우회하는 특수한 링크 형식을 사용하여 경고창 없이 공격이 이루어집니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.2.4, 10.0.7, 9.4.12, and 9.3.13, and Splunk Cloud Platform versions below 10.3.2512.13, 10.2.2510.15, 10.1.2507.23, and 9.3.2411.132, a low-privileged user that does not hold the 'admin' or 'power' Splunk roles could cause data exfiltration through classic dashboards by redirecting a victim to an external site using a protocol-relative URL in a drill-down link.<br><br>The vulnerability exists because the URL classifier in classic dashboards only recognizes `http://` and `https://` schemes when checking for external URLs. Protocol-relative URLs such as `//attacker.com` bypass this check entirely, and Splunk Web does not show the external-navigation warning dialog to the victim.
📍 영향받는 시스템
Splunk Enterprise (< 10.2.4, 10.0.7, 9.4.12, 9.3.13), Splunk Cloud Platform (< 10.3.2512.13, 10.2.2510.15, 10.1.2507.23, 9.3.2411.132)
⚔️ 공격 벡터
클래식 대시보드의 드릴다운 링크에 프로토콜 상대 URL(//attacker.com)을 삽입하여 보안 경고를 우회하고 외부 사이트로 리다이렉션 유도
🛡️ 대응 방법
Splunk Enterprise 및 Cloud Platform을 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 포함되어 있으면 해당 시스템은 보안 업데이트가 필요한 상태입니다.
splunk version | grep -E 'Splunk Enterprise/Cloud (10.2.4|10.0.7|9.4.12|9.3.13|10.3.2512.13|10.2.2510.15|10.1.2507.23|9.3.2411.132)'