🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 관리자 또는 파워 권한이 없는 사용자가 악성 지식 번들(knowledge bundle)을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있는 취약점입니다. 이 취약점은 REST API 엔드포인트의 권한 검증 미흡과 분산 검색 과정에서의 번들 선택 허용으로 인해 발생하며, 시스템의 데이터 접근성, 무결성 및 가용성에 심각한 영향을 미칠 수 있습니다.
💡 쉬운 설명
권한이 낮은 일반 사용자가 몰래 악성 파일을 서버에 올려 시스템을 마음대로 조종할 수 있는 보안 구멍입니다. 이로 인해 중요한 데이터가 유출되거나 시스템 전체가 마비될 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could perform Remote Code Execution (RCE) by uploading a malicious knowledge bundle and causing it to be used by distributed search, which can allow for access to all relevant data and affect system integrity and availability. The vulnerability is possible because the Representational State Transfer (REST) API endpoint for knowledge bundle upload does not require the high-privilege capability edit_dist_peer, and distributed search accepts caller-supplied knowledge bundle selections from users who do not hold that capability. For more information see What search heads send to search peers (https://help.splunk.com/en/splunk-enterprise/administer/distributed-search/9.2/knowledge-bundle-replication/what-search-heads-send-to-search-peers), About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/9.0/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access), Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/9.1/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities), and Using the REST API reference (https://help.splunk.com/en/splunk-enterprise/rest-api-reference/10.4/introduction/using-the-rest-api-reference) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
권한이 낮은 사용자가 REST API를 통해 악성 지식 번들을 업로드한 후 분산 검색 기능을 악용하여 실행
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있는지 확인하십시오.
splunk version | grep -E 'Splunk/10.4.2|Splunk/10.2.6|Splunk/10.0.9|Splunk/9.4.14'