🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 인증되지 않은 사용자가 관리 포트에 접근하여 SPL(Search Processing Language) 파이프라인을 주입할 수 있는 취약점이 발견되었습니다. 공격자가 조작된 Deployment Server 클라이언트 식별자를 등록하면, 관리자가 데이터 추가 워크플로우를 열 때 악성 SPL이 실행되어 데이터 유출, 시스템 무결성 및 가용성에 영향을 줄 수 있습니다.
💡 쉬운 설명
해커가 가짜 이름표를 만들어 시스템에 등록해두면, 관리자가 특정 메뉴를 클릭하는 순간 해커가 심어놓은 악성 명령어가 자동으로 실행되는 보안 결함입니다. 이를 통해 해커는 중요한 데이터를 훔치거나 시스템을 마비시킬 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.1, 10.2.5, 10.0.9, and 9.4.14, an unauthenticated user who can reach the Splunk management port could store a Search Processing Language (SPL) pipeline that runs when an administrator opens the Add Data forwarder workflow. The SPL pipeline could access all relevant data, affect system integrity, and affect availability of the Splunk platform instance. The SPL injection is possible because Deployment Server client identifiers are placed into dispatched searches without neutralizing special characters. Successful exploitation requires an administrator to open the affected Add Data forwarder workflow after the unauthenticated user registers a crafted Deployment Server client identity. For more information see Forward data (https://help.splunk.com/en/splunk-enterprise/get-started/get-data-in/10.2/how-to-get-data-into-your-splunk-deployment/forward-data) and About agent management (https://help.splunk.com/en/splunk-enterprise/administer/update-your-deployment/10.4/agent-management/about-agent-management) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.1 미만, 10.2.5 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 Deployment Server 클라이언트 식별자를 등록한 후, 관리자가 Add Data forwarder 워크플로우를 실행하도록 유도하여 SPL 인젝션 수행
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치 버전(10.4.1, 10.2.5, 10.0.9, 9.4.14 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(10.4.1, 10.2.5, 10.0.9, 9.4.14 미만)에 해당하는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access