🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 REST API를 통해 다른 사용자의 검색 쿼리 텍스트 및 작업 메타데이터에 접근할 수 있는 취약점이 발견되었습니다. 이 취약점은 REST API가 검색 작업 목록을 제공할 때 사용자별 권한 부여를 완전히 강제하지 않아 발생합니다.
💡 쉬운 설명
권한이 낮은 사용자가 다른 사람이 수행한 검색 내용과 그 결과 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 시스템이 사용자가 볼 수 있는 정보를 제대로 필터링하지 못해서 발생하는 문제입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.3, 10.2.7, 10.0.10, and 9.4.15, a user who does not hold the "admin" or "power" Splunk roles could access search query text and job metadata for jobs that belong to other users, including job identifiers, dispatch parameters, result counts, and execution metadata, through an Application Programming Interface (API) implemented as a Representational State Transfer (REST) API. The vulnerability is possible because the REST API does not fully enforce per-user authorization before it includes job information in search job listings.
📍 영향받는 시스템
Splunk Enterprise 10.4.3 미만, 10.2.7 미만, 10.0.10 미만, 9.4.15 미만 버전
⚔️ 공격 벡터
권한이 낮은 사용자가 REST API를 호출하여 타인의 검색 작업 식별자 및 실행 메타데이터를 조회
🛡️ 대응 방법
Splunk Enterprise를 보안 패치가 적용된 최신 버전(10.4.3, 10.2.7, 10.0.10, 9.4.15 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 취약 버전이 나타나면 패치가 필요하며, 지정된 보안 버전 이상이 출력되면 안전합니다.
splunk version | grep -E '10.4.3|10.2.7|10.0.10|9.4.15'