🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 read_o11y_content 권한을 가진 사용자가 REST API를 통해 외부 요청을 공격자 제어 호스트로 리다이렉트할 수 있습니다. 이 과정에서 설정된 Splunk Observability Cloud API 토큰이 유출될 위험이 있습니다. 이는 앱이 외부 요청의 목적지를 충분히 검증하지 않기 때문에 발생합니다.
💡 쉬운 설명
권한이 있는 사용자가 시스템을 속여 중요한 비밀번호(API 토큰)를 외부로 몰래 보내게 만들 수 있는 취약점입니다. 이를 통해 공격자는 사용자의 데이터에 접근할 수 있는 열쇠를 훔칠 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.3, 10.2.7, and 10.0.10, a user that holds a role with the read_o11y_content capability could redirect an outbound request from Splunk App for Splunk Observability Cloud through the Representational State Transfer (REST) API to an attacker-controlled host and disclose the configured Observability Cloud Application Programming Interface (API) token. The vulnerability is possible because Splunk App for Splunk Observability Cloud does not fully validate the destination of an outbound request. For more information see Authentication tokens (https://help.splunk.com/en/splunk-observability-cloud/administer/authentication-and-security/authentication-tokens) in the Splunk documentation.
Splunk Enterprise versions 9.4.x are not affected.
📍 영향받는 시스템
Splunk Enterprise 10.4.3 미만, 10.2.7 미만, 10.0.10 미만 버전 (9.4.x 버전은 제외)
⚔️ 공격 벡터
REST API를 이용한 외부 요청 목적지 조작 및 리다이렉트
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치 버전(10.4.3, 10.2.7, 10.0.10 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위(10.4.3, 10.2.7, 10.0.10 미만)에 해당하는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/10\.[0-4]\.'