🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 Discover Splunk Observability Cloud 앱의 REST API 엔드포인트에 대한 서비스 거부(DoS) 취약점이 발견되었습니다. 낮은 권한을 가진 사용자가 비효율적인 정규 표현식을 이용해 입력값을 제출함으로써 시스템 자원을 고갈시킬 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 특수한 입력값을 보내 시스템을 과부하 상태로 만들어 서비스를 중단시킬 수 있는 문제입니다. 앱 내부의 검사 규칙이 너무 복잡하여 발생하는 현상입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.3, 10.2.7, and 10.0.10, a low-privileged user that does not hold the "admin" or "power" Splunk roles could cause a denial of service against a Representational State Transfer (REST) API endpoint in the Discover Splunk Observability Cloud app. The vulnerability is possible because the app uses an inefficient regular expression to validate input submitted through the endpoint. For more information see About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access), Splunk Observability Cloud previews (https://help.splunk.com/en/splunk-enterprise/search/search-manual/10.4/observability/splunk-observability-cloud-previews), and restmap.conf (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.4/configuration-file-reference/10.4.0-configuration-file-reference/restmap.conf) in the Splunk documentation.
Splunk Enterprise versions 9.4.x are not affected.
📍 영향받는 시스템
Splunk Enterprise 10.4.3 미만, 10.2.7 미만, 10.0.10 미만 버전 (9.4.x 제외)
⚔️ 공격 벡터
낮은 권한의 사용자가 REST API 엔드포인트에 비효율적인 정규 표현식을 유발하는 입력값 전송
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.3, 10.2.7, 10.0.10 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 범위(10.4.3, 10.2.7, 10.0.10 미만)에 해당하는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/10\.[0-4]\.'