🇰🇷 한글 설명
Splunk Enterprise 10.4.2 및 10.2.6 미만 버전에서 관리자 권한이 없는 사용자가 데이터 관리 오케스트레이터 인터페이스를 통해 타인의 SPL2 모듈을 삭제할 수 있는 취약점입니다. 이는 데이터 관리 오케스트레이터가 삭제 요청 시 해당 사용자가 대상 리소스를 소유하고 있는지 검증하지 않는 권한 부여 결함(BOLA)으로 인해 발생합니다.
💡 쉬운 설명
일반 사용자가 권한을 넘어 다른 사람이 만든 중요한 데이터를 마음대로 삭제할 수 있는 보안 허점입니다. 시스템이 삭제 요청을 보낸 사람이 진짜 주인인지 확인하지 않아서 발생하는 문제입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2 and 10.2.6, a user who does not hold the "admin" or "power" Splunk roles could delete Splunk Processing Language version 2 (SPL2) modules belonging to other users through the data management orchestrator interface. The vulnerability does not affect Splunk Enterprise versions below 10.2. The broken object level authorization is possible because the data management orchestrator does not verify that the requesting user owns the target resources before it deletes the modules. For more information see Manage SPL2-based apps (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.4/meet-splunk-apps/manage-spl2-based-apps) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.2 미만 버전 제외, 10.4.2 미만 및 10.2.6 미만 버전
⚔️ 공격 벡터
권한이 낮은 사용자가 데이터 관리 오케스트레이터 인터페이스를 통해 타인의 SPL2 모듈 삭제 요청을 전송
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2 또는 10.2.6 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 10.4.2 또는 10.2.6보다 낮은지 확인하여 취약 여부를 판단합니다.
splunk version | grep -E 'Splunk Enterprise/10\.[0-4]\.'