🇰🇷 한글 설명
Splunk Enterprise 및 Secure Gateway의 특정 버전에서 발생하는 취약점으로, 인증되지 않은 공격자가 관리자 권한을 가진 사용자를 속여 조작된 URL을 클릭하게 유도할 수 있습니다. 이로 인해 관리자의 권한으로 임의의 SPL 명령어가 실행되어 데이터 유출이나 검색 결과 조작이 발생할 수 있습니다.
💡 쉬운 설명
관리자가 악성 링크를 클릭하면, 공격자가 숨겨놓은 명령어가 관리자의 권한을 빌려 실행되는 보안 약점입니다. 이를 통해 공격자는 관리자가 볼 수 있는 중요한 정보를 몰래 빼낼 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, and Splunk Secure Gateway versions below 3.10.9, 3.9.23, and 3.8.70, an unauthenticated user could trick a user who holds the "admin" or "sc_admin" Splunk roles into opening a crafted Splunk Web Uniform Resource Locator (URL). The resulting dashboard searches could run arbitrary Search Processing Language (SPL) commands with the permissions available to the affected user. The commands could expose all relevant data available to that user and affect search results or lookup data. The vulnerability is possible because Splunk Secure Gateway dashboards do not correctly neutralize caller-supplied values before using them in dashboard searches. The vulnerability requires the attacker to phish the affected user by tricking them into initiating a request within their browser. The unauthenticated user should not be able to exploit the vulnerability at will.
📍 영향받는 시스템
Splunk Enterprise < 10.4.2, 10.2.6, 10.0.9, 9.4.14; Splunk Secure Gateway < 3.10.9, 3.9.23, 3.8.70
⚔️ 공격 벡터
관리자 권한을 가진 사용자를 대상으로 한 피싱 공격(조작된 URL 클릭 유도)
🛡️ 대응 방법
Splunk Enterprise 및 Secure Gateway를 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위에 포함되는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/Secure Gateway'