🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 관리자나 파워 권한이 없는 사용자가 Splunk 실행 계정이 읽을 수 있는 파일을 자신이 제어하는 룩업(lookup)으로 이동시킬 수 있는 취약점입니다. 이로 인해 사용자는 관련 데이터에 접근할 수 있으며, 검색 헤드의 시스템 무결성과 가용성에 영향을 미칠 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템의 중요한 파일을 몰래 가져와서 볼 수 있는 보안 구멍이 발견되었습니다. 이로 인해 중요한 정보가 유출되거나 시스템 운영에 차질이 생길 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could move files that the user account running Splunk Enterprise can read into a lookup that the user controls. The user could then access all relevant data and affect system integrity and availability on the search head. The vulnerability is possible because the lookup configuration endpoint does not resolve lookup source paths before checking whether they stay inside the allowed lookup staging area. For more information see About lookups (https://help.splunk.com/en/splunk-enterprise/manage-knowledge-objects/knowledge-management-manual/10.4/use-lookups-in-splunk-web/about-lookups) and Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
룩업 설정 엔드포인트가 소스 경로를 검증하기 전에 경로를 해석하는 취약점을 이용한 파일 이동 공격
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)인지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)'