🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'power' 역할을 가진 사용자가 대시보드에 악성 SPL을 삽입할 수 있는 취약점이 발견되었습니다. 다른 인증된 사용자가 해당 대시보드를 PDF로 내보낼 때 삽입된 SPL이 해당 사용자의 권한으로 실행되어 데이터에 접근하거나 수정할 수 있습니다. 이는 Splunk Web이 PDF 내보내기 전 대시보드 콘텐츠를 충분히 검증하지 않아 발생합니다.
💡 쉬운 설명
권한이 있는 사용자가 만든 가짜 대시보드를 다른 사용자가 PDF로 저장하려고 하면, 몰래 숨겨진 명령어가 실행되어 개인 정보가 유출될 수 있습니다. 공격자가 사용자를 속여 특정 동작을 유도해야 발생하는 보안 문제입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.1, 10.2.6, 10.0.9, and 9.4.14, a user who holds the "power" Splunk role could store attacker-controlled Search Processing Language (SPL) in a dashboard. When another authenticated user exports the dashboard as a Portable Document Format (PDF) file, Splunk Enterprise runs the injected SPL using the permissions of that user. The injected SPL could access or modify data available to that user. The vulnerability is possible because Splunk Web does not sufficiently validate dashboard content before processing PDF exports. The vulnerability requires the attacker to phish the affected user by tricking them into initiating a request within their browser. The user who holds the "power" Splunk role should not be able to exploit the vulnerability at will. For more information see Generate PDFs of your reports and dashboards (https://help.splunk.com/en/splunk-enterprise/create-dashboards-and-reports/reporting-manual/9.4/report-management/generate-pdfs-of-your-reports-and-dashboards) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.1 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
공격자가 악성 SPL이 포함된 대시보드를 생성한 후, 피해 사용자가 이를 PDF로 내보내도록 유도하는 피싱 공격
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.1, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 버전(10.4.1, 10.2.6, 10.0.9, 9.4.14 이상)인지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)'