🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 인증되지 않은 사용자가 임베디드 보고서 토큰을 사용하여 검색 작업의 디스패치 아카이브를 다운로드할 수 있는 취약점이 발견되었습니다. 공격자는 노출된 세션 정보를 이용해 관련 데이터에 접근하고 Splunk 플랫폼 인스턴스의 시스템 무결성을 침해할 수 있습니다.
💡 쉬운 설명
로그 분석 도구인 Splunk에서 권한이 없는 사람이 몰래 보고서 파일을 내려받아 중요한 정보를 훔쳐볼 수 있는 문제입니다. 이 과정에서 시스템의 데이터가 조작되거나 보안 설정이 무력화될 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, an unauthenticated user who has an embedded report token could download the dispatch archive for an embedded report search job and use exposed session material to access all relevant data and affect system integrity on the Splunk platform instance. The vulnerability is possible because the embedded report authorization flow does not block dispatch archive download requests before Splunk Enterprise begins sending the archive to the requester. For more information see Additional configuration for embedded reports (https://help.splunk.com/en/splunk-enterprise/create-dashboards-and-reports/reporting-manual/10.4/report-management/additional-configuration-for-embedded-reports) and Embed scheduled reports (https://help.splunk.com/en/splunk-enterprise/create-dashboards-and-reports/reporting-manual/10.4/report-management/embed-scheduled-reports) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 임베디드 보고서 토큰을 이용해 권한 검증이 이루어지기 전 디스패치 아카이브 다운로드를 요청함
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 나타나면 안전하며, 그 미만 버전이 출력되면 취약한 상태입니다.
splunk version | grep -E 'Splunk Enterprise (10.4.2|10.2.6|10.0.9|9.4.14)'