🇰🇷 한글 설명
Splunk Enterprise 10.4.2 및 10.2.6 미만 버전에서 권한이 낮은 사용자가 SPL2 모듈 관리 REST API를 통해 모든 SPL2 모듈을 삭제할 수 있는 취약점입니다. 이로 인해 내보낸 데이터 세트와 함수가 삭제되어 시스템 무결성이 훼손되고 서비스 중단이 발생할 수 있습니다.
💡 쉬운 설명
관리자 권한이 없는 일반 사용자가 시스템의 중요한 데이터 처리 도구들을 마음대로 삭제할 수 있는 보안 결함입니다. 이 공격을 받으면 중요한 데이터가 사라지거나 서비스가 제대로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2 and 10.2.6, a user who does not hold the "admin" or "power" Splunk roles could delete all Search Processing Language 2 (SPL2) modules across all apps and users on the instance through the SPL2 module management Representational State Transfer (REST) API. This could delete exported datasets and functions, affect system integrity, and cause partial service disruption. The vulnerability does not affect Splunk Enterprise versions below 10.2. The vulnerability is possible because the SPL2 module management REST API does not sufficiently authorize and validate module deletion requests. For more information see Manage SPL2 modules (https://help.splunk.com/en/splunk-enterprise/search/spl2-search-manual/multiple-searches-in-an-spl2-module/manage-spl2-modules) and Module permissions (https://help.splunk.com/en/splunk-enterprise/search/spl2-search-manual/modules-statements-and-views/module-permissions) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.2 이상 10.4.2 미만 및 10.2.6 미만 버전
⚔️ 공격 벡터
권한 검증이 미흡한 SPL2 모듈 관리 REST API를 통한 악의적인 삭제 요청
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2 또는 10.2.6 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 10.4.2 또는 10.2.6보다 낮은지 확인하여 취약 여부를 판단합니다.
splunk version | grep -E 'Splunk Enterprise/10\.[0-4]\.'