🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 인증되지 않은 사용자가 edit_federated_providers 권한을 가진 사용자를 속여 모든 연합 검색 제공자를 비활성화할 수 있는 취약점입니다. 이 취약점은 상태 변경 동작을 수행하는 REST API가 GET 요청을 허용하기 때문에 발생하며, 성공 시 원격 데이터셋으로부터의 연합 검색이 일시적으로 중단될 수 있습니다.
💡 쉬운 설명
해커가 권한이 있는 관리자에게 가짜 링크를 클릭하게 유도하여, 외부 데이터를 가져오는 기능을 강제로 꺼버릴 수 있는 문제입니다. 직접적인 해킹은 아니지만, 사용자를 속여서 시스템 설정을 망가뜨리는 방식입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.4, 10.2.8, 10.0.11, and 9.4.16, an unauthenticated user could trick a user that holds a role with the edit_federated_providers capability into turning off all federated search providers. Successful exploitation could temporarily prevent federated searches from retrieving data from remote datasets.
The vulnerability is possible because the federated provider Representational State Transfer (REST) API accepts GET requests for actions that change provider state.
The vulnerability requires the attacker to phish the affected user by tricking them into initiating a request within their browser. The unauthenticated user should not be able to exploit the vulnerability at will.
For more information see Run federated searches over remote Splunk platform deployments (https://help.splunk.com/en/splunk-enterprise/search/federated-search/10.6/run-federated-searches-across-other-splunk-deployments/run-federated-searches-over-remote-splunk-platform-deployments) and Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise versions below 10.4.4, 10.2.8, 10.0.11, and 9.4.16
⚔️ 공격 벡터
권한을 가진 사용자를 대상으로 한 피싱 공격 (사용자가 브라우저에서 특정 요청을 실행하도록 유도)
🛡️ 대응 방법
Splunk Enterprise를 보안 패치가 적용된 최신 버전(10.4.4, 10.2.8, 10.0.11, 9.4.16 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 버전(10.4.4, 10.2.8, 10.0.11, 9.4.16 이상)인지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)'