🇰🇷 한글 설명
Splunk Enterprise 및 Splunk Secure Gateway의 특정 버전에서 권한이 낮은 사용자가 다른 사용자의 모바일 알림 데이터를 읽을 수 있는 취약점이 발견되었습니다. 이는 Splunk Secure Gateway App KV Store REST API 엔드포인트가 읽기 요청에 대해 사용자 수준의 권한 부여를 강제하지 않기 때문에 발생합니다.
💡 쉬운 설명
관리자 권한이 없는 일반 사용자가 시스템의 허점을 이용해 다른 사람의 모바일 알림 내용을 몰래 훔쳐볼 수 있는 문제입니다. 보안 설정이 미흡하여 데이터 접근 제어가 제대로 이루어지지 않는 것이 원인입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.4, 10.2.8, 10.0.11, and 9.4.16, and Splunk Secure Gateway versions below 3.10.12, 3.9.26, and 3.8.73, a low-privileged user that does not hold the "admin" Splunk role or the "sc_admin" Splunk Secure Gateway role could read mobile alert notification data for other users through Splunk Secure Gateway App Key Value Store (KV Store) Representational State Transfer (REST) API endpoints.
The vulnerability is possible because the affected Splunk Secure Gateway App Key Value Store collections do not enforce user-level authorization for read requests.
For more information see About the app key value store (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.2/administer-the-app-key-value-store/about-the-app-key-value-store) and About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise < 10.4.4, 10.2.8, 10.0.11, 9.4.16; Splunk Secure Gateway < 3.10.12, 3.9.26, 3.8.73
⚔️ 공격 벡터
권한이 낮은 사용자가 취약한 REST API 엔드포인트를 통해 다른 사용자의 KV Store 컬렉션에 접근하여 데이터를 조회함
🛡️ 대응 방법
Splunk Enterprise 및 Splunk Secure Gateway를 보안 패치가 적용된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 버전(예: Enterprise 10.4.4 이상 등)인지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/Splunk Secure Gateway'