🇰🇷 한글 설명
Splunk Enterprise 및 Secure Gateway의 특정 버전에서 관리자 권한이 없는 사용자가 임의의 컴패니언 앱을 등록할 수 있는 취약점이 발견되었습니다. 이 취약점을 악용하면 공격자가 제어하는 URL로 모바일 사용자의 토큰을 포함한 요청을 전달하여 관련 데이터를 탈취할 수 있습니다. 이는 컴패니언 앱 등록 핸들러에 하드코딩된 암호화 키가 존재하여 콜백 URL 등록을 제한하지 못하기 때문에 발생합니다.
💡 쉬운 설명
권한이 낮은 사용자가 가짜 앱을 등록하여 사용자의 로그인 정보나 중요한 데이터를 공격자에게 몰래 보낼 수 있는 문제입니다. 앱 등록 과정에서 보안 검증이 제대로 이루어지지 않아 발생하는 결함입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, and Splunk Secure Gateway versions below 3.10.10, 3.9.24, and 3.8.71, a user who does not hold the "admin" or "power" Splunk roles could register an arbitrary companion app and cause Splunk Secure Gateway to forward mobile user requests, including tokens that compromise all relevant data available to the affected mobile user, to an attacker-controlled Uniform Resource Locator (URL). The vulnerability is possible because a hard-coded cryptographic key in the Splunk Secure Gateway companion app registration handler allows for arbitrary callback URL registration without restriction. For more information see Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise < 10.4.2, 10.2.6, 10.0.9, 9.4.14; Splunk Secure Gateway < 3.10.10, 3.9.24, 3.8.71
⚔️ 공격 벡터
권한이 낮은 사용자가 하드코딩된 키를 이용해 악의적인 콜백 URL을 가진 컴패니언 앱을 등록하여 토큰 탈취
🛡️ 대응 방법
Splunk Enterprise 및 Secure Gateway를 명시된 보안 패치 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 패치 버전(예: Enterprise 10.4.2 이상 등)인지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise|Splunk Secure Gateway'