🇰🇷 한글 설명
Splunk Enterprise for Windows의 특정 버전에서 로컬 사용자가 Splunk 서비스 시작 전 관리 포트에 먼저 바인딩하여 인증 토큰을 가로챌 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 Splunk를 실행하는 계정의 권한을 탈취하여 관련 데이터와 시스템 무결성을 침해할 수 있습니다.
💡 쉬운 설명
컴퓨터에 접속 권한이 있는 사용자가 Splunk 프로그램이 켜지기 전에 미리 통로를 만들어 놓고, 프로그램이 실행될 때 주고받는 비밀 열쇠를 훔쳐보는 공격입니다. 이 열쇠를 훔치면 Splunk에 저장된 중요한 정보들을 마음대로 조작하거나 볼 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise for Windows versions below 10.4.2, 10.2.6, 10.0.9, 9.4.13, and 9.3.14, a local user with access to the Windows host could bind to the management port before Splunk Enterprise starts, intercept authentication tokens from child processes, and use those tokens to compromise all relevant data and system integrity available to the user account running Splunk Enterprise. The vulnerability is possible because the Windows management-port listener does not apply exclusive address binding protections before the service starts.
📍 영향받는 시스템
Splunk Enterprise for Windows (10.4.2, 10.2.6, 10.0.9, 9.4.13, 9.3.14 미만 버전)
⚔️ 공격 벡터
로컬 사용자가 Windows 호스트에서 Splunk 서비스 시작 전 관리 포트에 독점적이지 않은 주소 바인딩을 이용해 포트를 선점함
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.13, 9.3.14 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.13, 9.3.14 중 하나 이상)인지 확인하십시오.