🇰🇷 한글 설명
Splunk Enterprise 10.4.4 및 10.2.8 미만 버전에서 권한이 낮은 사용자가 PostgreSQL 사이드카 데이터베이스의 슈퍼유저 비밀번호를 유추할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 검색 헤드 클러스터 멤버에서 Splunk 실행 계정 권한으로 임의의 운영체제 명령을 실행할 수 있습니다.
💡 쉬운 설명
일반 사용자 권한을 가진 사람이 시스템의 중요한 비밀번호를 알아내어 컴퓨터를 마음대로 조종할 수 있는 보안 결함입니다. 검색 로그에 남은 정보를 이용해 데이터베이스 관리자 권한을 탈취하는 방식입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.4 and 10.2.8, a user who does not hold the "admin" or "power" Splunk roles could derive the PostgreSQL sidecar database superuser password and run arbitrary operating system commands as the user account running Splunk Enterprise on search head cluster members.
The vulnerability is possible because the PostgreSQL sidecar service derives a privileged database password from the search head cluster identifier that appears in search job logs.
For more information see About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access), server.conf (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.2/configuration-file-reference/10.2.0-configuration-file-reference/server.conf), and Sidecar configuration settings (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.4/splunk-sidecars/sidecar-configuration-settings) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.4 미만 및 10.2.8 미만 버전
⚔️ 공격 벡터
검색 작업 로그에 포함된 클러스터 식별자를 이용해 PostgreSQL 비밀번호를 유추한 후 OS 명령 실행
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.4 또는 10.2.8 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 10.4.4 미만이거나 10.2.8 미만인 경우 취약한 버전이므로 업데이트가 필요합니다.
splunk version | grep -E 'Splunk Enterprise (10\[0-3]\.|10\.4\.[0-3])'