🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 edit_spl2_module_permissions 권한을 가진 사용자가 REST API를 통해 권한이 없는 SPL2 모듈의 권한 부여 정보를 조회할 수 있는 취약점이 발견되었습니다. 이는 API가 요청된 앱에 대한 읽기 권한을 사전에 검증하지 않기 때문에 발생합니다.
💡 쉬운 설명
특정 권한을 가진 사용자가 원래는 볼 수 없어야 하는 시스템 설정 정보를 몰래 훔쳐볼 수 있는 보안 허점입니다. 시스템이 사용자가 해당 정보를 볼 자격이 있는지 제대로 확인하지 않아 발생합니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.3, 10.2.7, and 10.0.10, a user that holds a role with the edit_spl2_module_permissions capability could use the affected Representational State Transfer (REST) API to access permission grants for SPL2 modules that the user does not have permission to view. The vulnerability is possible because Splunk Enterprise does not verify that the user can read the requested app before the affected REST API returns SPL2 module permission grants. For more information see Module permissions (https://help.splunk.com/en/splunk-enterprise/search/spl2-search-manual/modules-statements-and-views/module-permissions) and Manage SPL2 modules (https://help.splunk.com/en/splunk-enterprise/search/spl2-search-manual/multiple-searches-in-an-spl2-module/manage-spl2-modules) in the Splunk documentation.
Splunk Enterprise versions 9.4.x are not affected.
📍 영향받는 시스템
Splunk Enterprise 10.4.3 미만, 10.2.7 미만, 10.0.10 미만 버전 (9.4.x 버전은 제외)
⚔️ 공격 벡터
권한이 있는 사용자가 취약한 REST API를 호출하여 비인가된 SPL2 모듈 권한 정보에 접근
🛡️ 대응 방법
Splunk Enterprise를 보안 패치가 적용된 최신 버전(10.4.3, 10.2.7, 10.0.10 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 해당 시스템은 업데이트가 필요한 상태입니다.
splunk version | grep -E 'Splunk Enterprise/10\.(4\[<3\]|2\[<7\]|0\[<10\])'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access