🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'power' 역할을 가진 사용자가 악의적인 SPL(Search Processing Language)이 포함된 Dashboard Studio 워크플로 액션을 저장할 수 있는 취약점이 발견되었습니다. 다른 인증된 사용자가 해당 액션을 실행하면 공격자가 삽입한 SPL이 해당 사용자의 권한으로 실행되어 데이터에 접근하거나 수정할 수 있습니다. 이는 Dashboard Studio가 워크플로 액션 URL을 충분히 검증하지 않아 발생하며, 공격자가 사용자를 속여 요청을 유도하는 피싱 공격이 필요합니다.
💡 쉬운 설명
권한이 있는 사용자가 만든 가짜 버튼을 다른 사용자가 클릭하면, 그 사용자의 권한으로 몰래 데이터가 조회되거나 변경될 수 있는 보안 약점입니다. 공격자가 사용자를 속여 특정 동작을 수행하게 만드는 피싱 수법이 동반되어야 합니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who holds the "power" Splunk role could store a Dashboard Studio workflow action containing attacker-controlled Search Processing Language (SPL). When another authenticated user selects the action from Event Actions and selects Continue, Splunk Enterprise runs the injected SPL using the permissions of that user. The injected SPL could access or modify data available to that user. The vulnerability is possible because Dashboard Studio does not sufficiently validate workflow-action URLs before submitting requests. The vulnerability requires the attacker to phish the affected user by tricking them into initiating a request within their browser. The user who holds the "power" Splunk role should not be able to exploit the vulnerability at will.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
공격자가 악성 SPL이 포함된 대시보드 액션을 생성한 후, 피해 사용자가 이를 클릭하도록 유도하는 피싱 공격
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있으면 안전하며, 그 미만 버전이면 취약합니다.
splunk version | grep -E 'Splunk Enterprise (10.4.2|10.2.6|10.0.9|9.4.14)'