🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 인증되지 않은 사용자가 HTML 소스에 포함된 세션 정보를 이용해 모든 관련 데이터에 접근하고 시스템 무결성을 훼손할 수 있는 취약점이 발견되었습니다. 이는 디스패치 아카이브 다운로드 경로가 임베디드 보고서의 권한 경계를 올바르게 강제하지 않고, 아카이브된 검색 작업 데이터에 민감한 세션 정보가 포함되기 때문에 발생합니다.
💡 쉬운 설명
Splunk 보고서를 웹페이지에 넣었을 때, 공격자가 페이지 소스 코드에 숨겨진 정보를 훔쳐서 관리자 권한처럼 데이터를 마음대로 볼 수 있는 문제입니다. 보안 설정이 제대로 작동하지 않아 중요한 로그인 정보와 유사한 데이터가 외부로 노출될 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.1, 10.2.6, 10.0.9, and 9.4.14, an unauthenticated user who can read the Hypertext Markup Language (HTML) source of a page that embeds a Splunk report could use exposed session material to access all relevant data and affect system integrity. The vulnerability is possible because the dispatch archive download path does not correctly enforce the embedded-report authorization boundary and includes sensitive session material in archived search-job data. For more information see Additional configuration for embedded reports (https://help.splunk.com/en/splunk-enterprise/create-dashboards-and-reports/reporting-manual/10.4/report-management/additional-configuration-for-embedded-reports) and Embed scheduled reports (https://help.splunk.com/en/splunk-enterprise/create-dashboards-and-reports/reporting-manual/10.4/report-management/embed-scheduled-reports) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.1 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
임베디드된 Splunk 보고서가 포함된 HTML 페이지의 소스 코드에서 노출된 세션 자료를 탈취하여 접근
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.1, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 범위(10.4.1, 10.2.6, 10.0.9, 9.4.14 미만)에 해당하면 취약한 상태입니다.
splunk version | grep -E 'Splunk Enterprise/ (10\[0-4]\.|9\.4\.(?!14))'