🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 권한이 낮은 사용자가 데이터 모델 에디터를 통해 다른 사용자가 임의의 SPL 명령을 실행하도록 유도할 수 있는 취약점이 발견되었습니다. 공격자는 피싱을 통해 대상 사용자의 브라우저에서 요청을 실행하게 함으로써, 해당 사용자의 권한으로 데이터에 접근하거나 시스템 무결성을 해칠 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 다른 사용자를 속여서, 그 사용자의 권한으로 위험한 명령어를 실행하게 만드는 보안 약점입니다. 이를 통해 공격자는 허용되지 않은 데이터에 접근하거나 시스템 설정을 변경할 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.1, 10.2.6, 10.0.8, and 9.4.13, a user who does not hold the "admin" or "power" Splunk roles could trick another user into running arbitrary Search Processing Language (SPL) commands through the Data Model Editor using the permissions of the affected user. The commands could access all relevant data available to the affected user and affect system integrity. The vulnerability is possible because Splunk Web does not apply SPL safeguards for risky commands when the Data Model Editor runs the base search for auto-extracted fields. The vulnerability requires the attacker to phish the affected user by tricking them into initiating a request within their browser. The user who does not hold the "admin" or "power" Splunk roles should not be able to exploit the vulnerability at will. For more information see SPL safeguards for risky commands (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/best-practices-for-splunk-platform-security/spl-safeguards-for-risky-commands) and Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.1 미만, 10.2.6 미만, 10.0.8 미만, 9.4.13 미만 버전
⚔️ 공격 벡터
대상 사용자를 속여 브라우저 내에서 특정 요청을 실행하게 만드는 피싱 공격
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.1, 10.2.6, 10.0.8, 9.4.13 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/10.4.1|10.2.6|10.0.8|9.4.13'