🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'user' 역할을 가진 사용자가 Dashboard Studio를 통해 다른 인증된 사용자의 권한으로 임의의 SPL(Search Processing Language)을 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 대시보드 검색 쿼리가 검색 디스패치에 도달하기 전 앱 가시성 권한 경계를 일관되게 강제하지 않아 발생하며, 데이터 접근 및 시스템 무결성과 가용성에 영향을 줄 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 특수하게 제작된 대시보드를 통해 다른 사용자의 권한을 도용하여 데이터를 훔치거나 시스템을 방해할 수 있는 문제입니다. 공격자가 피해자에게 가짜 링크를 클릭하도록 유도하는 피싱 공격이 필요합니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who holds the "user" Splunk role could craft a Dashboard Studio dashboard that runs attacker-controlled Search Processing Language (SPL) for another authenticated user. The attacker-controlled SPL could access all relevant data and affect system integrity and availability. The vulnerability is possible because Dashboard Studio does not consistently enforce the expected app-visibility authorization boundary before dashboard search query options reach search dispatch. The vulnerability requires the attacker to phish the affected user by tricking them into initiating a request within their browser. The user who holds the "user" Splunk role should not be able to exploit the vulnerability at will. For more information see Create search-based visualizations with ds.search (https://help.splunk.com/en/splunk-enterprise/create-dashboards-and-reports/dashboard-studio/10.4/use-data-sources/create-search-based-visualizations-with-ds.search) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
공격자가 제작한 대시보드를 사용자가 브라우저에서 실행하도록 유도하는 피싱 공격
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 나타난 버전이 취약한 버전 범위에 포함되는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/ (10.4\[[0-9]|10.2\[0-5]|10.0\[0-8]|9.4\[0-13])'