🇰🇷 한글 설명
Splunk Enterprise 및 Splunk Secure Gateway의 특정 버전에서 권한이 낮은 인증된 사용자가 KV Store 컬렉션의 데이터를 수정할 수 있는 취약점이 발견되었습니다. 이로 인해 공격자는 알림 및 모바일 장치 수신자 데이터를 조작하여 이후의 알림 및 구독 워크플로우에 영향을 줄 수 있습니다.
💡 쉬운 설명
관리자 권한이 없는 일반 사용자가 시스템의 중요한 설정 정보를 몰래 바꿀 수 있는 문제입니다. 이를 통해 잘못된 곳으로 알림이 가도록 조작하는 등의 행위가 가능합니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.3, 10.2.7, 10.0.10, and 9.4.15, and Splunk Secure Gateway versions below 3.10.11, 3.9.25, and 3.8.72, an authenticated user who does not hold the "admin" or "sc_admin" Splunk roles could modify Splunk Secure Gateway alert and mobile-device recipient data in App Key Value Store (KV Store) collections that later alert and subscription workflows use. The vulnerability is possible because the affected collections allow unrestricted write access instead of limiting writes to authorized Splunk Secure Gateway workflows. For more information see About the app key value store (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.4/administer-the-app-key-value-store/about-the-app-key-value-store), KV store endpoint descriptions (https://help.splunk.com/en/splunk-enterprise/leverage-rest-apis/rest-api-reference/10.4/kv-store-endpoints/kv-store-endpoint-descriptions), and About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise < 10.4.3, 10.2.7, 10.0.10, 9.4.15; Splunk Secure Gateway < 3.10.11, 3.9.25, 3.8.72
⚔️ 공격 벡터
권한이 제한되지 않은 KV Store 컬렉션에 인증된 사용자가 직접 쓰기 요청을 보내 데이터를 수정함
🛡️ 대응 방법
Splunk Enterprise 및 Splunk Secure Gateway를 보안 패치가 적용된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 버전(Enterprise 10.4.3 이상 등)인지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)|Splunk Secure Gateway/([0-9]+\.[0-9]+\.[0-9]+)'