🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 run_collect 권한을 가진 사용자가 SPL의 collect 명령어를 악용하여 시스템 수준 메시지에 공격자가 제어하는 콘텐츠를 삽입할 수 있습니다. 이는 collect 명령어가 처리 전 인덱스 이름을 검증하지 않는 결함으로 인해 발생합니다.
💡 쉬운 설명
권한이 있는 사용자가 시스템 기록에 가짜 정보를 끼워 넣어 시스템 메시지를 조작할 수 있는 보안 취약점입니다. 데이터 저장 위치를 검증하지 않는 허점을 이용해 시스템 로그를 오염시킬 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.3, 10.2.7, 10.0.10, and 9.4.15, a user that holds a role with the run_collect capability could use the collect Search Processing Language (SPL) command to add attacker-controlled content to system-level messages on the Splunk platform instance. The vulnerability is possible because the collect command does not validate the index name before processing the value. For more information see collect (https://help.splunk.com/en/splunk-enterprise/search/spl-search-reference/10.4/search-commands/collect), Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities), and System endpoint descriptions (https://help.splunk.com/en/splunk-enterprise/rest-api-reference/10.4/system-endpoints/system-endpoint-descriptions) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.3 미만, 10.2.7 미만, 10.0.10 미만, 9.4.15 미만 버전
⚔️ 공격 벡터
run_collect 권한을 가진 사용자가 검증되지 않은 인덱스 이름을 포함한 SPL collect 명령어를 실행하여 공격
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.3, 10.2.7, 10.0.10, 9.4.15 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있으면 안전합니다.
splunk version | grep -E 'Splunk Enterprise/ (10.4.3|10.2.7|10.0.10|9.4.15)'