🇰🇷 한글 설명
Splunk Enterprise 및 Cloud Platform의 특정 버전에서 발생하는 취약점으로, `list_deployment_server` 권한을 가진 사용자를 속여 임의의 SPL 검색을 실행하게 할 수 있습니다. 이 공격은 CSRF 토큰 검증 미흡과 입력값 검증 부재를 악용하며, 공격자는 이를 통해 저장된 자격 증명 및 인덱스 데이터에 접근할 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 악성 링크를 클릭하면, 공격자가 원하는 명령어를 대신 실행하게 만드는 보안 결함입니다. 이를 통해 공격자는 시스템의 중요한 비밀번호나 저장된 데이터를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.1, 10.2.5, 10.0.8, and 9.4.13, and Splunk Cloud Platform versions below 10.5.2605.0, 10.4.2604.7, 10.3.2512.16, 10.2.2510.18, and 10.1.2507.24, an attacker could trick a user that holds a role with the `list_deployment_server` capability into running arbitrary Search Processing Language (SPL) searches on their behalf as `splunk-system-user`, allowing for access to stored credentials and indexed data.<br><br>The vulnerability is possible because Deployment Server endpoints in Splunk Web do not validate Cross-Site Request Forgery (CSRF) tokens on GET requests, and caller-supplied input is not correctly neutralized before it is placed into an SPL search.
📍 영향받는 시스템
Splunk Enterprise (< 10.4.1, 10.2.5, 10.0.8, 9.4.13), Splunk Cloud Platform (< 10.5.2605.0, 10.4.2604.7, 10.3.2512.16, 10.2.2510.18, 10.1.2507.24)
⚔️ 공격 벡터
CSRF 토큰 검증이 없는 GET 요청을 이용한 사용자 기만 및 SPL 인젝션
🛡️ 대응 방법
Splunk를 최신 보안 패치가 적용된 버전(Enterprise 10.4.1 이상 등)으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 해당 시스템은 업데이트가 필요한 상태입니다.
splunk version | grep -E '10.4.1|10.2.5|10.0.8|9.4.13'