🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 Dataset Explorer가 데이터셋 이름을 검증하거나 이스케이프 처리하지 않아 발생하는 취약점입니다. 인증되지 않은 공격자가 피싱 링크를 통해 사용자를 속이면, 해당 사용자의 권한으로 임의의 SPL 파이프라인을 실행하여 데이터 접근 및 시스템 무결성을 침해할 수 있습니다.
💡 쉬운 설명
공격자가 만든 특수한 링크를 클릭하게 유도하여, 사용자의 권한을 도용해 중요한 데이터를 몰래 조회하거나 시스템을 망가뜨릴 수 있는 보안 약점입니다. 사용자가 링크를 직접 클릭해야만 공격이 성립되는 피싱 기반의 취약점입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, 9.4.14, and 9.3.14, an unauthenticated user could cause another user to dispatch arbitrary Search Processing Language (SPL) pipelines from Dataset Explorer with the same privileges as that user, which can allow for access to all relevant data and system integrity available to that user and affect system availability. The vulnerability is possible because Dataset Explorer does not validate or escape dataset names before building SPL searches and does not apply SPL safeguards for risky commands to those searches. The vulnerability requires the attacker to phish the user by tricking them into opening the crafted link. The unauthenticated user should not be able to exploit the vulnerability at will. For more information see Explore a dataset (https://help.splunk.com/en/splunk-enterprise/manage-knowledge-objects/knowledge-management-manual/10.4/manage-and-explore-datasets/explore-a-dataset) and SPL safeguards for risky commands (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/best-practices-for-splunk-platform-security/spl-safeguards-for-risky-commands) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만, 9.3.14 미만 버전
⚔️ 공격 벡터
사용자를 속여 조작된 링크를 클릭하게 만드는 피싱(Phishing) 공격
🛡️ 대응 방법
Splunk Enterprise를 보안 패치가 적용된 최신 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14, 9.3.14 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 패치된 버전 번호가 나타나면 안전하며, 그 미만 버전이 나타나면 취약할 수 있습니다.
splunk version | grep -E '10.4.2|10.2.6|10.0.9|9.4.14|9.3.14'