🇰🇷 한글 설명
Splunk Enterprise 10.4.3 및 10.2.7 미만 버전에서 Patroni RST API에 인증 없이 접근할 수 있는 취약점이 발견되었습니다. 공격자는 네트워크를 통해 검색 헤드 클러스터 멤버의 API에 접근하여 임의의 운영체제 명령을 실행할 수 있습니다.
💡 쉬운 설명
인증 절차 없이 중요한 설정을 바꿀 수 있는 통로가 열려 있어, 해커가 내 컴퓨터를 마음대로 조종할 수 있는 위험한 상태입니다. 로그인 없이도 시스템 명령을 내릴 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.3 and 10.2.7, an unauthenticated user with network access to the Patroni Representational State Transfer (REST) Application Programming Interface (API) on a search head cluster member could execute attacker-controlled operating-system commands. The vulnerability is possible because this interface does not require authentication for critical configuration operations. For more information see Sidecar configuration settings (https://help.splunk.com/en/data-management/splunk-enterprise-admin-manual/10.2/splunk-sidecars/sidecar-configuration-settings) in the Splunk documentation.
Splunk Enterprise versions 10.0.x and 9.4.x are not affected.
📍 영향받는 시스템
Splunk Enterprise 10.4.3 미만 및 10.2.7 미만 버전 (10.0.x 및 9.4.x 제외)
⚔️ 공격 벡터
네트워크를 통해 인증되지 않은 상태로 Patroni RST API에 접근하여 OS 명령 실행
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치 버전(10.4.3 또는 10.2.7 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 10.4.3 또는 10.2.7보다 낮은지 확인하여 취약 여부를 판단합니다.
splunk version | grep -E 'Splunk Enterprise/10\.[0-4]\.'