🇰🇷 한글 설명
Splunk SOAR 8.7.0 미만 버전에서 권한이 없는 인증된 사용자가 Automation Broker Docker Compose 설정 파일을 다운로드할 수 있는 취약점이 발견되었습니다. 이 파일에는 Splunk SOAR 인스턴스의 URL, 컨테이너 이미지 위치 및 버전 정보가 포함되어 있습니다. 이는 시스템이 Automation Broker 편집 권한을 제대로 검증하지 않아 발생합니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템의 중요한 설정 파일을 몰래 가져갈 수 있는 보안 구멍이 발견되었습니다. 이 파일에는 시스템의 주소와 구성 정보가 들어 있어 공격자에게 유용한 정보가 될 수 있습니다.
🇺🇸 원문 (English)
In Splunk SOAR versions below 8.7.0, an authenticated user who does not hold a role with permission to edit Automation Brokers could download the Splunk SOAR Automation Broker Docker Compose configuration file. The file contains the Uniform Resource Locator (URL) of the Splunk SOAR instance, the container image location, and the Splunk SOAR Automation Broker version.
The vulnerability is possible because Splunk SOAR returns the configuration file without enforcing the Automation Broker edit permission.
For more information see Install Splunk Automation Broker on a Docker host (https://help.splunk.com/en/splunk-soar/splunk-automation-broker/install-and-create-classic-splunk-soar-automation-brokers/install-splunk-automation-broker-on-a-docker-host) and Manage roles and permissions in Splunk SOAR (On-premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/8.5.0/manage-your-splunk-soar-on-premises-users-and-accounts/manage-roles-and-permissions-in-splunk-soar-on-premises) in the Splunk documentation.
📍 영향받는 시스템
Splunk SOAR versions below 8.7.0
⚔️ 공격 벡터
권한이 없는 인증된 사용자가 적절한 권한 검증 없이 설정 파일 다운로드 요청을 전송
🛡️ 대응 방법
Splunk SOAR를 8.7.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 8.7.0 미만인 경우 해당 취약점에 노출된 상태입니다.
splunk show version | grep -E '8\.[0-7]'