🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 읽기 권한이 없는 앱으로 필드 추출 또는 필드 변환 설정을 이동시킬 수 있는 취약점이 발견되었습니다. 이는 REST API가 필드 추출 및 변환 이동 작업을 처리하기 전에 대상 앱에 대한 액세스 권한을 검증하지 않기 때문에 발생합니다.
💡 쉬운 설명
권한이 낮은 사용자가 접근해서는 안 되는 다른 앱의 설정 영역으로 데이터를 몰래 옮길 수 있는 보안 결함입니다. 시스템이 데이터를 옮기기 전에 사용자가 그 위치에 접근할 권한이 있는지 제대로 확인하지 않아 발생합니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.4, 10.2.8, 10.0.11, and 9.4.16, a user who does not hold the "admin" or "power" Splunk roles could move field extractions or field transformations to apps for which the user does not have read access.
The vulnerability is possible because the Representational State Transfer (REST) API does not validate destination app access before it processes field extraction and field transformation move operations.
For more information see Use the Field extractions page (https://help.splunk.com/en/splunk-enterprise/manage-knowledge-objects/knowledge-management-manual/10.6/use-the-settings-pages-for-field-extractions-in-splunk-web/use-the-field-extractions-page) and Manage knowledge object permissions (https://help.splunk.com/en/splunk-enterprise/manage-knowledge-objects/knowledge-management-manual/10.6/get-started-with-knowledge-objects/manage-knowledge-object-permissions) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.4 미만, 10.2.8 미만, 10.0.11 미만, 9.4.16 미만 버전
⚔️ 공격 벡터
권한이 제한된 사용자가 REST API를 사용하여 필드 추출/변환 설정을 권한이 없는 앱으로 이동시키는 방식
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.4, 10.2.8, 10.0.11, 9.4.16 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 Splunk Enterprise 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)'