🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 Splunk Observability Cloud로 요청을 전달하여 저장된 액세스 토큰을 탈취할 수 있는 취약점입니다. 이로 인해 공격자는 해당 토큰의 권한 범위 내에서 데이터를 조회하거나 콘텐츠를 일부 변경할 수 있습니다. 이는 REST API 엔드포인트 핸들러가 read_o11y_content 권한을 적절히 검증하지 않아 발생합니다.
💡 쉬운 설명
권한이 낮은 사용자가 관리자용 비밀 열쇠(액세스 토큰)를 몰래 가로채서 외부 클라우드 서비스의 데이터를 훔쳐보거나 수정할 수 있는 문제입니다. 앱이 요청을 보낼 때 사용자가 적절한 권한을 가졌는지 확인하는 절차가 빠져 있어 발생합니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, and 10.0.9, a user who does not hold the "admin" or "power" Splunk roles could cause the Splunk App for Splunk Observability Cloud to forward requests to Splunk Observability Cloud, including the Splunk Observability Cloud access token stored for the app. With this access, the user could view all relevant data available to that token and make limited changes to Splunk Observability Cloud content. The vulnerability does not affect Splunk Enterprise 9.4 and 9.3 versions. The vulnerability is possible because the app's Representational State Transfer (REST) API endpoint handlers do not enforce the read_o11y_content capability before forwarding requests with the stored access token. For more information see Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만 버전 (9.4 및 9.3 버전은 제외)
⚔️ 공격 벡터
권한이 낮은 사용자가 조작된 REST API 요청을 통해 앱에 저장된 액세스 토큰을 외부로 전달하도록 유도
🛡️ 대응 방법
Splunk Enterprise를 안전한 버전(10.4.2, 10.2.6, 10.0.9 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 버전이 취약한 버전 범위(10.4.2, 10.2.6, 10.0.9 미만)에 해당하는지 확인
splunk version | grep -E 'Splunk Enterprise/10\[0-4]\.'