🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 관리자 권한이 없는 사용자가 Splunk Web Manager Configuration을 통해 임의의 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 REST API 경로의 권한 검증 미흡으로 인해 발생하며, 공격자는 시스템 데이터에 접근하거나 시스템의 무결성 및 가용성을 침해할 수 있습니다.
💡 쉬운 설명
관리자 권한이 없는 일반 사용자가 시스템 설정 기능을 악용하여 컴퓨터에 몰래 명령을 내릴 수 있는 보안 구멍입니다. 이를 통해 해커가 중요한 데이터를 훔치거나 시스템을 마비시킬 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could execute arbitrary code on the Splunk platform instance through Splunk Web Manager Configuration. The user could then access all relevant data and affect system integrity and availability on the Splunk platform instance. The vulnerability is possible because Splunk Web Manager Configuration evaluates manager configuration values, and the Representational State Transfer (REST) API path for manager configuration does not require the permission that normally controls manager configuration writes. For more information see About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access) and restmap.conf (https://help.splunk.com/en/data-management/splunk-enterprise-admin-manual/10.2/configuration-file-reference/10.2.0-configuration-file-reference/restmap.conf) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
권한 검증이 누락된 REST API 경로를 통해 Splunk Web Manager Configuration 값을 조작하여 임의 코드 실행
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 표시된 버전이 취약한 버전 범위에 해당하면 보안 업데이트가 필요합니다.
splunk version | grep -E 'Splunk Enterprise/ (10\[0-4]\.[0-4]\.[0-9]|9\.4\.1[0-3])'