🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 인증되지 않은 사용자가 검색 요청에 임의의 SPL(Search Processing Language)을 주입할 수 있는 취약점이 발견되었습니다. 이는 Splunk Web이 인접 이벤트 검색 시 사용자 입력값을 일관되게 이스케이프 처리하지 않아 발생하며, 권한 없는 검색 실행을 허용할 수 있습니다.
💡 쉬운 설명
해커가 로그인하지 않고도 Splunk 시스템에 몰래 명령어를 입력하여 원하는 데이터를 찾아낼 수 있는 보안 구멍입니다. 시스템이 사용자가 입력한 검색어를 제대로 검사하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, an unauthenticated user could inject arbitrary Search Processing Language (SPL) into requests that search for events near a selected event. This could allow for unauthorized search execution. The vulnerability is possible because Splunk Web does not consistently escape caller-supplied values when it builds SPL for nearby-event searches, and embedded report access accepts those requests without the expected authorization check. For more information see Use time to find nearby events (https://help.splunk.com/en/splunk-enterprise/search/search-manual/10.2/specify-time-ranges/use-time-to-find-nearby-events) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 인접 이벤트 검색 요청 시 악의적인 SPL 구문을 주입하여 실행
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 나타나면 안전하며, 그 미만 버전이 나타나면 업데이트가 필요합니다.
splunk version | grep -E 'Splunk/10.4.2|Splunk/10.2.6|Splunk/10.0.9|Splunk/9.4.14'