🇰🇷 한글 설명
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 낮은 권한을 가진 사용자가 클래식 대시보드를 조작하여 상위 권한 사용자의 브라우저로부터 민감한 데이터를 탈취할 수 있는 취약점이 발견되었습니다. 이는 대시보드 패널의 스타일 속성 값이 충분히 검증되지 않아, 신뢰할 수 없는 외부 도메인으로 요청을 보낼 수 있기 때문에 발생합니다.
💡 쉬운 설명
권한이 낮은 사용자가 만든 가짜 대시보드를 관리자가 열어보는 순간, 관리자의 브라우저에 있는 중요한 정보가 외부로 몰래 빠져나갈 수 있습니다. 공격자가 관리자를 속여서 해당 대시보드를 클릭하게 만드는 과정이 필요합니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.2.4, 10.0.7, 9.4.12, and 9.3.13, and Splunk Cloud Platform versions below 10.3.2512.13, 10.2.2510.15, 10.1.2507.23, and 9.3.2411.132, a low-privileged user that does not hold the "admin" or "power" Splunk roles could craft a classic dashboard that exfiltrates sensitive data from the browser of a higher-privileged user who views it.
The exfiltration is possible because classic dashboard panels do not fully validate style attribute values, which can allow for requests to reach external domains outside the configured Trusted Domains List.
The vulnerability requires the attacker to phish the victim by tricking them into initiating a request within their browser. The low-privileged user should not be able to exploit the vulnerability at will.
📍 영향받는 시스템
Splunk Enterprise (< 10.2.4, 10.0.7, 9.4.12, 9.3.13), Splunk Cloud Platform (< 10.3.2512.13, 10.2.2510.15, 10.1.2507.23, 9.3.2411.132)
⚔️ 공격 벡터
낮은 권한의 사용자가 악성 스타일 속성이 포함된 클래식 대시보드를 제작한 후, 피싱을 통해 상위 권한 사용자가 이를 조회하도록 유도
🛡️ 대응 방법
Splunk Enterprise 및 Cloud Platform을 보안 패치가 적용된 최신 버전으로 즉시 업데이트
🔧 검증 코드
명령어 실행 결과에 취약한 버전 번호가 출력되면 해당 시스템은 보안 업데이트가 필요한 상태입니다.
splunk version | grep -E '10.2.4|10.0.7|9.4.12|9.3.13|10.3.2512.13|10.2.2510.15|10.1.2507.23|9.3.2411.132'