🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 관리자나 파워 권한이 없는 사용자가 REST API를 통해 서비스 거부(DoS) 공격을 수행할 수 있습니다. 룩업 테이블 파일 엔드포인트가 응답 필드 선택 시 리소스 사용량을 제한하지 않아 발생하며, 서비스 복구를 위해 인스턴스 재시작이 필요합니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템에 과도한 계산을 요구하는 요청을 보내 서버를 멈추게 만들 수 있는 취약점입니다. 이 공격을 받으면 Splunk 서비스가 먹통이 되어 재시작하기 전까지 사용할 수 없습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.4, 10.2.8, 10.0.11, and 9.4.16, a user who does not hold the "admin" or "power" Splunk roles could make the Splunk Enterprise instance unavailable to other users by sending a request to the Representational State Transfer (REST) API endpoint for lookup table files. The affected instance requires a restart to restore service.
The vulnerability is possible because the endpoint does not limit resource use when it processes response field selections.
For more information see Endpoints reference list (https://help.splunk.com/en/splunk-enterprise/rest-api-reference/10.4/introduction/endpoints-reference-list) and About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.4 미만, 10.2.8 미만, 10.0.11 미만, 9.4.16 미만 버전
⚔️ 공격 벡터
권한이 낮은 사용자가 REST API의 룩업 테이블 엔드포인트에 리소스 소모가 큰 필드 선택 요청을 전송
🛡️ 대응 방법
Splunk Enterprise를 보안 패치가 적용된 최신 버전(10.4.4, 10.2.8, 10.0.11, 9.4.16 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 나타나면 해당 버전이 설치되어 있음을 의미합니다.
splunk version | grep -E '10.4.4|10.2.8|10.0.11|9.4.16'