🇰🇷 한글 설명
Splunk Enterprise 10.4.3 미만 버전에서 list_spl2_modules 권한을 가진 사용자가 SPL2 모듈 필터링 시 SQL 인젝션을 수행할 수 있습니다. 이 취약점을 통해 공격자는 REST API를 통해 다른 사용자의 비공개 SPL2 모듈 정의를 포함한 모든 관련 데이터에 접근할 수 있습니다. 이는 사용자 입력값이 데이터베이스 쿼리에 매개변수화되지 않고 사용되기 때문에 발생합니다.
💡 쉬운 설명
Splunk를 사용하는 특정 권한을 가진 사람이 특수한 명령어를 입력하여 시스템의 보안을 뚫고 다른 사람의 비밀 데이터를 몰래 볼 수 있는 문제입니다. 데이터베이스에 명령어를 직접 주입하는 방식의 공격이 가능합니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.3, a user that holds a role with the list_spl2_modules capability could use SQL injection in SPL2 module filtering to access all relevant data available through the affected Representational State Transfer (REST) API, including private SPL2 module definitions belonging to other users. The vulnerability is possible because Splunk Enterprise and Splunk Cloud Platform do not parameterize user-supplied values before using them in database queries for SPL2 module filtering. For more information see Manage SPL2 modules (https://help.splunk.com/en/splunk-enterprise/search/spl2-search-manual/multiple-searches-in-an-spl2-module/manage-spl2-modules) and Module permissions (https://help.splunk.com/en/splunk-enterprise/search/spl2-search-manual/modules-statements-and-views/module-permissions) in the Splunk documentation.
Splunk Enterprise versions 10.2.x, 10.0.x, and 9.4.x are not affected.
📍 영향받는 시스템
Splunk Enterprise 10.4.3 미만 버전 (단, 10.2.x, 10.0.x, 9.4.x 버전은 제외)
⚔️ 공격 벡터
list_spl2_modules 권한을 이용한 SPL2 모듈 필터링 과정에서의 SQL Injection
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 10.4.3 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 10.4.3보다 낮은지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)' | awk '{print $3}' | awk -F'/' '{print $2}'