🇰🇷 한글 설명
Splunk SOAR 8.7.0 미만 버전에서 'Users and Roles' 보기 권한을 가진 사용자가 REST API를 통해 다른 사용자의 인증 토큰 값을 추론할 수 있는 취약점이 발견되었습니다. 만약 추론된 토큰이 관리자 권한을 포함하고 있다면, 공격자는 해당 Splunk SOAR 인스턴스의 관리자 권한을 탈취할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템의 특정 질문(API 필터)을 교묘하게 이용해 다른 사람의 비밀 열쇠(인증 토큰)를 알아낼 수 있는 문제입니다. 이 열쇠를 얻게 되면 시스템 전체를 마음대로 조종할 수 있는 관리자 권한을 갖게 됩니다.
🇺🇸 원문 (English)
In Splunk SOAR versions below 8.7.0, a user that holds a role with the Users and Roles view permission could use the Representational State Transfer (REST) API to infer authentication token values for other users. If the inferred token grants administrative access, that user could gain administrative access to the Splunk SOAR instance.
The vulnerability is possible because the REST API accepts caller-controlled query filters on sensitive user record fields.
For more information see Using the REST API reference for Splunk SOAR (On-premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/rest-api-reference/7.1.0/using-the-splunk-soar-rest-api/using-the-rest-api-reference-for-splunk-soar-on-premises), Query for Data (https://help.splunk.com/en/splunk-soar/soar-on-premises/rest-api-reference/7.1.0/using-the-splunk-soar-rest-api/query-for-data), and Manage roles and permissions in Splunk SOAR (On-premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/6.4.0/manage-your-splunk-soar-on-premises-users-and-accounts/manage-roles-and-permissions-in-splunk-soar-on-premises) in the Splunk documentation.
📍 영향받는 시스템
Splunk SOAR 8.7.0 미만 모든 버전
⚔️ 공격 벡터
REST API의 쿼리 필터 기능을 악용하여 민감한 사용자 레코드 필드 값을 추론하는 방식
🛡️ 대응 방법
Splunk SOAR를 8.7.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 8.7.0보다 낮은지 확인하십시오.
curl -s -X GET https://<splunk-soar-host>/rest/services/auth/users | grep -oP '"version": "\K[^"]+'