🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 조작된 작업 식별자를 사용하여 타인의 검색 작업 정보에 접근할 수 있는 취약점이 발견되었습니다. REST API가 검색 작업의 소유권을 완전히 검증하지 않아 검색 쿼리 텍스트, 메타데이터, 결과 및 미리보기 결과가 노출될 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 다른 사용자가 수행한 검색 기록과 그 결과를 몰래 훔쳐볼 수 있는 보안 결함입니다. 시스템이 검색 결과의 주인인지 제대로 확인하지 않아서 발생하는 문제입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.3, 10.2.7, 10.0.10, and 9.4.15, a user who does not hold the "admin" or "power" Splunk roles could use a user-controlled job identifier to access substantially all search job information from jobs that belong to other users, including search query text, job metadata, results, and preview results, through an Application Programming Interface (API) implemented as a Representational State Transfer (REST) API. The vulnerability is possible because the REST API does not fully validate job ownership before returning search job information.
📍 영향받는 시스템
Splunk Enterprise 10.4.3 미만, 10.2.7 미만, 10.0.10 미만, 9.4.15 미만 버전
⚔️ 공격 벡터
REST API를 통해 조작된 job ID를 전달하여 타인의 검색 작업 정보에 접근
🛡️ 대응 방법
Splunk Enterprise를 보안 패치가 적용된 최신 버전(10.4.3, 10.2.7, 10.0.10, 9.4.15 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(10.4.3, 10.2.7, 10.0.10, 9.4.15 미만)에 해당하는지 확인
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)'