🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 schedule_search 권한을 가진 사용자가 예약된 검색 워크플로우의 보안 제어 장치를 우회할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 위험한 SPL 명령어를 실행하여 데이터를 유출하거나 변경하고, 시스템 가용성을 저해할 수 있습니다.
💡 쉬운 설명
예약된 검색 기능을 이용해 보안 검사를 피하고 위험한 명령어를 실행할 수 있는 문제입니다. 이를 통해 중요한 정보가 유출되거나 시스템이 멈출 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.4, 10.2.8, 10.0.11, and 9.4.16, a user that holds a role with the schedule_search capability could bypass the expected safeguards in the scheduled search workflow. The user could then run risky Search Processing Language (SPL) commands that disclose or alter Splunk Enterprise data or disrupt Splunk Enterprise availability.
The vulnerability is possible because the Splunk Enterprise search scheduler does not apply SPL safeguards for risky commands to scheduled searches.
For more information see SPL safeguards for risky commands (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.6/best-practices-for-splunk-platform-security/spl-safeguards-for-risky-commands) in the Splunk documentation.
For more information see authorize.conf (https://help.splunk.com/en/data-management/splunk-enterprise-admin-manual/10.6/configuration-file-reference/10.6.0-configuration-file-reference/authorize.conf) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.4 미만, 10.2.8 미만, 10.0.11 미만, 9.4.16 미만 버전
⚔️ 공격 벡터
schedule_search 권한을 가진 사용자가 보안 제어가 적용되지 않는 예약된 검색 기능을 통해 위험한 SPL 명령어를 실행
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.4, 10.2.8, 10.0.11, 9.4.16 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 표시된 버전이 취약한 버전 범위에 포함되는지 확인합니다.
splunk version | grep -E 'Splunk Enterprise/ (10\[\.\d+\.\d+\.\d+|9\.4\.16)'