🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 schedule_search 권한을 가진 사용자가 알림 트리거 조건 필드에 악성 스크립트를 저장할 수 있는 취약점이 발견되었습니다. 다른 사용자가 조작된 링크를 열면 브라우저에서 스크립트가 실행되어 해당 사용자의 데이터에 접근할 수 있습니다. 이는 Splunk Web이 알림 임계값 데이터를 처리할 때 특수 문자를 적절히 이스케이프하지 않아 발생합니다.
💡 쉬운 설명
권한이 있는 사용자가 몰래 악성 코드를 심어놓으면, 다른 사용자가 해당 알림을 확인하는 순간 그 사용자의 정보를 훔쳐갈 수 있는 보안 약점입니다. 웹사이트가 입력된 특수 문자를 안전하게 처리하지 못해서 발생하는 문제입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user that holds a role with the schedule_search capability could store a malicious script in an alert trigger condition field. When another user opens the crafted link, the script runs in the browser of that user and could access all data available to that user. The vulnerability is possible because Splunk Web uses the alert threshold value in generated alert trigger condition markup without escaping special characters. Successful exploitation requires another user to open the crafted link. For more information see Configure alert trigger conditions (https://help.splunk.com/en/splunk-enterprise/alert-and-respond/alerting-manual/10.4/manage-alert-trigger-conditions-and-throttling/configure-alert-trigger-conditions) and Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
schedule_search 권한을 가진 사용자가 악성 스크립트가 포함된 알림 트리거 조건을 생성하고, 다른 사용자가 해당 링크를 클릭하도록 유도함
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 표시된 버전이 취약한 버전 범위에 포함되는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise (10.4\[0-9]\.|10.2\[0-6]\.|10.0\[0-9]\.|9.4\[0-1]\.)'