🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 임베디드 보고서 토큰을 가진 인증되지 않은 사용자가 검색 작업 디스패치 아카이브를 다운로드할 수 있는 취약점이 발견되었습니다. 이를 통해 세션 정보를 탈취하여 보고서 소유자의 데이터에 접근하거나, 소유자가 관리자 권한을 가진 경우 시스템 전체의 무결성을 해치고 관리자 작업을 수행할 수 있습니다.
💡 쉬운 설명
공유된 보고서 링크를 통해 해커가 몰래 데이터를 가져가거나 관리자 권한을 훔칠 수 있는 보안 구멍이 발견되었습니다. 이로 인해 회사의 중요한 정보가 유출되거나 시스템 설정이 마음대로 바뀔 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, an unauthenticated user who has an embedded report token could download the associated search job dispatch archive, recover session material, and use it to access all relevant data available to the report owner and affect system integrity, including by performing administrative actions when the owner holds the "admin" Splunk role. The vulnerability is possible because embedded report access does not block Representational State Transfer (REST) API dispatch archive download requests. For more information see Additional configuration for embedded reports (https://help.splunk.com/en/splunk-enterprise/create-dashboards-and-reports/reporting-manual/9.1/report-management/additional-configuration-for-embedded-reports) and About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
임베디드 보고서 토큰을 이용해 REST API로 디스패치 아카이브를 다운로드하여 세션 정보를 탈취하는 방식
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있는지 확인하여 보안 패치 여부를 판단합니다.
splunk version | grep -E 'Splunk Enterprise/ (10.4.2|10.2.6|10.0.9|9.4.14)'