🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 run_collect 권한을 가진 사용자가 SPL의 collect 명령어를 사용하여 설정된 인덱스 접근 제한을 우회하고 내부 인덱스에 이벤트를 기록할 수 있는 취약점입니다. 이는 인덱스 이름에 포함된 공백을 정규화하지 않아 발생하는 보안 결함입니다.
💡 쉬운 설명
권한이 제한된 사용자가 이름에 공백을 섞어 쓰는 편법을 통해 접근이 금지된 데이터 저장소에 몰래 데이터를 쓸 수 있는 문제입니다. 시스템이 이름의 공백을 제대로 처리하지 못해 발생하는 보안 구멍입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.3, 10.2.7, 10.0.10, and 9.4.15, a user that holds a role with the run_collect capability could use the collect Search Processing Language (SPL) command to write events to internal indexes outside the index access configured for the role. The vulnerability is possible because Splunk Enterprise does not normalize whitespace in an index name before applying configured index-access restrictions for the role. For more information see collect (https://help.splunk.com/en/splunk-enterprise/search/spl-search-reference/10.4/search-commands/collect), Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities), and How indexing works (https://help.splunk.com/en/splunk-enterprise/administer/manage-indexers-and-indexer-clusters/10.4/indexing-overview/how-indexing-works) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.3 미만, 10.2.7 미만, 10.0.10 미만, 9.4.15 미만 버전
⚔️ 공격 벡터
run_collect 권한을 가진 사용자가 인덱스 이름에 공백을 포함한 SPL collect 명령어를 실행하여 접근 제한을 우회함
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.3, 10.2.7, 10.0.10, 9.4.15 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 최소 버전 이상인지 확인하고, 그렇지 않으면 취약한 버전으로 판단합니다.
splunk version | grep -E 'Splunk Enterprise/10.4.3|10.2.7|10.0.10|9.4.15' || echo 'Vulnerable version detected'