🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 인증되지 않은 사용자가 신뢰할 수 있는 분산 검색 개인 키에 접근할 수 있을 경우 관리자 세션 토큰을 위조할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 모든 관련 데이터에 접근하고 시스템 무결성을 훼손하며 서비스 가용성을 중단시킬 수 있습니다. 이 문제는 분산 검색 인증 토큰 엔드포인트가 구성된 검색 피어를 식별하기 위한 서명된 요청을 요구하지 않아 발생합니다.
💡 쉬운 설명
해커가 가짜 관리자 권한을 만들어내어 Splunk 시스템의 모든 데이터에 접근하고 시스템을 망가뜨릴 수 있는 보안 구멍이 발견되었습니다. 인증 과정에서 확인 절차가 부족하여 발생하는 문제입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, an unauthenticated user who has access to a trusted distributed search private key could forge an administrative session token, access all relevant data, affect system integrity, and disrupt service availability. The vulnerability is possible because the distributed search authentication token endpoint does not require a signed request to identify a configured search peer, allowing the request to fall back to shared local key material. For more information see About distributed search (https://help.splunk.com/en/splunk-enterprise/administer/distributed-search/10.4/overview-of-distributed-search/about-distributed-search) and authentication.conf (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.4/configuration-file-reference/10.4.2-configuration-file-reference/authentication.conf) in Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
신뢰할 수 있는 분산 검색 개인 키를 탈취한 후, 서명되지 않은 요청을 통해 관리자 세션 토큰을 위조하여 접근
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있는지 확인하십시오.
splunk version | grep -E '10.4.2|10.2.6|10.0.9|9.4.14'