🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 Job Details 대시보드를 통해 SPL(Search Processing Language) 보안 제약을 우회할 수 있는 취약점이 발견되었습니다. 공격자가 조작된 링크를 통해 사용자를 피싱하면, 해당 사용자의 권한으로 악성 SPL이 실행되어 데이터 접근 및 시스템 무결성에 영향을 줄 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 가짜 링크를 클릭하게 유도하여, 클릭한 사용자의 권한을 이용해 몰래 데이터를 조회하거나 조작하는 공격입니다. 사용자가 의심스러운 링크를 열지 않도록 주의해야 합니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could bypass Search Processing Language (SPL) safeguards for risky commands through the Job Details dashboard. The injected SPL could run using the permissions of an authenticated user who opens a crafted Job Details dashboard link. This could allow access to all relevant data and affect system integrity within those permissions. The vulnerability is possible because the Job Details dashboard does not correctly neutralize a caller-supplied search identifier before placing it into SPL searches. The vulnerability requires the attacker to phish the user by tricking them into opening the crafted link. The user who does not hold the "admin" or "power" Splunk roles should not be able to exploit the vulnerability at will. For more information see About jobs and job management (https://help.splunk.com/en/splunk-enterprise/search/search-manual/10.4/manage-jobs/about-jobs-and-job-management) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
권한이 있는 사용자를 대상으로 조작된 Job Details 대시보드 링크를 클릭하도록 유도하는 피싱 공격
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 나타나면 안전하며, 그 미만 버전이 나타나면 업데이트가 필요합니다.
splunk version | grep -E '10.4.2|10.2.6|10.0.9|9.4.14'