🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 권한이 낮은 사용자가 REST API를 통해 SQL 인젝션을 수행할 수 있는 취약점이 발견되었습니다. 공격자가 입력한 필터 값이 적절한 검증 없이 데이터베이스 쿼리에 포함되어, 공격자가 제어하는 텍스트가 쿼리의 일부로 실행될 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 특수한 명령어를 입력하여 Splunk 내부 데이터베이스를 조작하거나 정보를 빼낼 수 있는 보안 약점입니다. 시스템이 사용자의 입력을 제대로 검사하지 않고 데이터베이스 명령어로 바로 사용하기 때문에 발생합니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a low-privileged user that does not hold the "admin" or "power" Splunk roles could inject Structured Query Language (SQL) through the Representational State Transfer (REST) API, causing Splunk Enterprise to evaluate attacker-controlled text as part of a database query. The SQL injection is possible because the REST API incorporates user-supplied filter values into database queries without proper neutralization.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
REST API의 필터 값에 악의적인 SQL 구문을 삽입하여 데이터베이스 쿼리를 조작
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(10.4.2, 10.2.6, 10.0.9, 9.4.14 미만)에 해당하는지 확인
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)'