🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 접근 권한이 없는 앱 내에서 자신이 소유한 sourcetype 이름 변경 설정을 생성, 이동, 수정 또는 삭제할 수 있는 취약점이 발견되었습니다. 이 문제는 Splunk Web이 sourcetype 이름 변경 작업을 수행하기 전에 필요한 앱 권한을 검증하지 않아 발생합니다.
💡 쉬운 설명
권한이 낮은 사용자가 허가되지 않은 영역의 데이터 설정(sourcetype)을 마음대로 바꿀 수 있는 보안 결함입니다. Splunk 웹 화면에서 권한 확인 절차가 제대로 이루어지지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.4, 10.2.8, 10.0.11, and 9.4.16, a user who does not hold the "admin" or "power" Splunk roles could create, move, edit, or delete sourcetype renaming configurations that they own in apps that they do not have permission to access.
The vulnerability is possible when Splunk Web is turned on because Splunk Web does not verify the required app permissions before it performs sourcetype renaming operations.
For more information see Rename source types at search time (https://help.splunk.com/en/splunk-enterprise/get-started/get-data-in/10.6/configure-source-types/rename-source-types-at-search-time) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.4 미만, 10.2.8 미만, 10.0.11 미만, 9.4.16 미만 버전
⚔️ 공격 벡터
Splunk Web이 활성화된 상태에서 권한이 낮은 사용자가 API 또는 웹 인터페이스를 통해 접근 권한이 없는 앱의 sourcetype 설정을 조작
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.4, 10.2.8, 10.0.11, 9.4.16 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에 취약한 버전 번호가 포함되어 있다면 해당 버전이 설치되어 있음을 의미합니다.
splunk version | grep -E '10.4.4|10.2.8|10.0.11|9.4.16' | grep -v 'fixed'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access