🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 관리자 권한이 없는 사용자가 조작된 Splunk Web Manager 설정을 제출하여 원격 코드 실행(RCE)을 수행할 수 있는 취약점입니다. 이 취약점은 Splunk Web이 XML 표현식을 검증할 때 입력 제한이 부족하고 설정 경로에 적절한 권한 확인이 이루어지지 않아 발생합니다. 공격자는 이를 통해 시스템 데이터에 접근하고 시스템의 무결성과 가용성을 침해할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 특수하게 만든 설정 파일을 보내 시스템을 마음대로 조종할 수 있는 보안 구멍입니다. 이를 통해 해커가 서버에 명령을 내려 중요한 정보를 빼가거나 시스템을 멈추게 할 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could perform Remote Code Execution (RCE) by submitting crafted Splunk Web Manager Configuration content. The user could then access all relevant data and affect system integrity and availability. The vulnerability is possible because Splunk Web evaluates manager Extensible Markup Language expressions without sufficient input restrictions, and the associated configuration route does not require the capability expected for manager configuration changes. For more information see About configuration files (https://help.splunk.com/en/data-management/splunk-enterprise-admin-manual/10.4/administer-splunk-enterprise-with-configuration-files/about-configuration-files) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
권한이 낮은 사용자가 조작된 XML 표현식이 포함된 Splunk Web Manager 구성 내용을 제출하여 공격
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)인지 확인합니다.
splunk version | grep -E 'Splunk Enterprise/10.4.2|10.2.6|10.0.9|9.4.14'