🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 관리자나 파워 권한이 없는 사용자가 저장된 검색 요청에 SPL(Search Processing Language)을 주입할 수 있는 취약점이 발견되었습니다. 이는 입력된 시간 값을 적절히 검증하지 않아 발생하며, 공격자가 모든 관련 데이터에 무단으로 접근하거나 시스템 무결성을 해칠 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 검색 명령어를 몰래 끼워 넣어 시스템의 중요한 데이터를 훔쳐볼 수 있는 보안 결함입니다. 검색할 때 사용하는 시간 설정값에 악성 코드를 숨겨 넣는 방식으로 공격이 이루어집니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could inject Search Processing Language (SPL) into saved-search dispatch requests. This could allow for unauthorized access to all relevant data and affect system integrity within Splunk Enterprise. The vulnerability is possible because Splunk Enterprise does not correctly validate caller-supplied time values before using them in saved-search dispatch. For more information see Search endpoint descriptions (https://help.splunk.com/en/splunk-enterprise/rest-api-reference/10.2/search-endpoints/search-endpoint-descriptions) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
저장된 검색 디스패치 요청 시 사용자 제공 시간 값에 SPL 명령어를 주입하는 방식
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/ (10.4.2|10.2.6|10.0.9|9.4.14)'