🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 권한이 낮은 사용자가 Federated Search 번들 선택 과정을 악용하여 원격 코드 실행(RCE)을 수행할 수 있는 취약점입니다. 이 취약점은 Federated Search 디스패치 흐름이 연합 제공자 및 인덱스를 관리하는 권한을 강제하지 않아 발생하며, 시스템의 데이터 접근성, 무결성 및 가용성에 영향을 미칠 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 보안 검사를 우회하여 시스템에 명령을 내리고 데이터를 훔칠 수 있는 위험한 결함입니다. 공격자가 허가되지 않은 방식으로 검색 설정을 조작하여 서버를 제어할 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a low-privileged user that does not hold the fsh_manage capability could perform Remote Code Execution through Federated Search bundle selection. This could allow for access to all relevant data and affect system integrity and availability. The vulnerability is possible because the Federated Search dispatch flow accepts caller-controlled bundle selection without enforcing the capability that manages federated providers and indexes. For more information see Security models for Federated Search for Splunk (https://help.splunk.com/en/splunk-enterprise/search/federated-search/10.4/run-federated-searches-across-other-splunk-deployments/service-accounts-and-security-for-federated-search-for-splunk/security-models-for-federated-search-for-splunk) and Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
Federated Search 번들 선택 시 호출자가 제어하는 값을 검증 없이 수용하는 디스패치 흐름 악용
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위에 포함되는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)'