🇰🇷 한글 설명
Splunk Enterprise 10.4.4 미만 버전에서 특정 권한을 가진 사용자가 자신의 소유가 아닌 Data Management SPL2 미리보기 작업 및 결과를 읽거나 삭제할 수 있는 취약점이 발견되었습니다. 이는 Data Management REST API가 필요한 권한은 확인하지만, 요청된 작업이 요청자의 소유인지 여부는 검증하지 않기 때문에 발생합니다.
💡 쉬운 설명
권한이 있는 사용자가 다른 사람이 만든 데이터 관리 작업 내용을 몰래 보거나 삭제할 수 있는 보안 허점입니다. 데이터 관리 기능 중 일부 설정이 켜져 있을 때 발생할 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.4, a user that holds a role with the preview_data_management_pipeline capability or edit_data_management_pipeline_job capability could read or delete Data Management SPL2 preview jobs and results outside their ownership scope.
The vulnerability is possible because the Data Management Representational State Transfer (REST) API verifies the required capability but does not verify that the requested preview job belongs to the requester.
The affected Data Management REST API is available only when the Edge Processor feature is turned on. The Edge Processor feature is turned off by default.
For more information see Set up a data management control plane (https://help.splunk.com/en/splunk-enterprise/process-data-at-the-edge/use-edge-processors-for-splunk-enterprise/10.4/getting-started/set-up-a-data-management-control-plane) and Getting sample data for previewing data transformations (https://help.splunk.com/en/splunk-enterprise/process-data-at-the-edge/use-edge-processors-for-splunk-enterprise/10.4/working-with-pipelines/getting-sample-data-for-previewing-data-transformations) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.4 미만 버전 (Edge Processor 기능 활성화 시)
⚔️ 공격 벡터
특정 권한(preview_data_management_pipeline 등)을 가진 사용자가 REST API를 통해 타인의 작업 ID를 호출하여 데이터에 접근
🛡️ 대응 방법
Splunk Enterprise를 10.4.4 이상 버전으로 업데이트하거나, 사용하지 않는 경우 Edge Processor 기능을 비활성화하십시오.
🔧 검증 코드
출력된 버전 번호가 10.4.4보다 낮으면 해당 취약점에 노출될 가능성이 있습니다.
splunk version | grep -E 'Splunk Enterprise/.*[0-9]\.[0-9]\.[0-9]' | awk '{print $NF}' | awk -F'/' '{print $2}'