🇰🇷 한글 설명
Splunk Enterprise의 Analytics Workspace에서 데이터 검증 미흡으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 조작된 링크를 통해 인증된 사용자가 악성 SPL(Search Processing Language)을 실행하도록 유도할 수 있으며, 이를 통해 해당 사용자의 권한으로 데이터에 접근하거나 작업을 수행할 수 있습니다.
💡 쉬운 설명
공격자가 보낸 특수한 링크를 클릭하면, 사용자가 모르는 사이에 공격자가 원하는 명령어가 실행되는 보안 결함입니다. 이로 인해 사용자가 볼 수 있는 중요한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, an unauthenticated user could trick an authenticated user into opening a crafted link to Analytics Workspace. When the authenticated user opens the link, Splunk Enterprise runs attacker-controlled Search Processing Language (SPL) using the permissions of that user. The injected SPL could access data and perform actions available to that user. The vulnerability is possible because Analytics Workspace does not sufficiently validate data used to build searches. The vulnerability requires the attacker to phish the user by tricking them into opening the crafted link. The unauthenticated user should not be able to exploit the vulnerability at will.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
사용자를 속여 조작된 Analytics Workspace 링크를 클릭하게 만드는 피싱 공격
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위에 포함되는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)'