🇰🇷 한글 설명
Splunk SOAR 8.7.0 미만 버전에서 'Observer' 권한을 가진 사용자가 REST API의 쿼리 필터를 악용하여 다른 사용자의 비밀번호 해시 및 인증 토큰을 유추할 수 있는 정보 노출 취약점이 발견되었습니다. 이는 REST API가 민감한 필드를 보호하기 전에 쿼리 필터를 먼저 적용하기 때문에 발생합니다.
💡 쉬운 설명
권한이 낮은 사용자가 특수한 검색 명령어를 사용하여 다른 사람의 비밀번호 암호나 로그인 정보를 몰래 알아낼 수 있는 문제입니다. 시스템이 민감한 정보를 가리기 전에 검색 필터를 먼저 처리하는 허점을 이용한 공격입니다.
🇺🇸 원문 (English)
In Splunk SOAR versions below 8.7.0, a user that has the "Observer" role could use query filters in the Representational State Transfer (REST) API to infer password hashes and authorization tokens for other users.
The information disclosure is possible because Splunk SOAR applies REST API query filters to user records before it protects sensitive fields from query processing.
For more information see Using the REST API reference for Splunk SOAR (On-premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/rest-api-reference/8.5.0/using-the-splunk-soar-rest-api/using-the-rest-api-reference-for-splunk-soar-on-premises), Query for Data (https://help.splunk.com/en/splunk-soar/soar-on-premises/rest-api-reference/7.1.0/using-the-splunk-soar-rest-api/query-for-data), and Manage roles and permissions in Splunk SOAR (On-premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/8.5.0/manage-your-splunk-soar-on-premises-users-and-accounts/manage-roles-and-permissions-in-splunk-soar-on-premises) in the Splunk documentation.
📍 영향받는 시스템
Splunk SOAR 8.7.0 미만 모든 버전
⚔️ 공격 벡터
REST API의 쿼리 필터 기능을 이용한 정보 유추 공격
🛡️ 대응 방법
Splunk SOAR를 8.7.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 8.7.0 미만인지 확인하여 취약 여부를 판단합니다.
splunk show version | grep -E 'Splunk SOAR'