🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 geostats 명령어를 통해 임의의 SPL 명령어를 주입할 수 있는 취약점이 발견되었습니다. 공격자는 피싱을 통해 권한이 있는 사용자가 조작된 검색을 실행하도록 유도함으로써, 해당 사용자의 권한으로 데이터를 탈취하거나 설정 파일을 수정할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 교묘하게 조작된 명령어를 심어놓고, 관리자가 이를 실행하게 만들어 관리자의 권한을 훔치는 공격입니다. 이를 통해 관리자가 볼 수 있는 중요한 정보나 비밀번호를 몰래 빼낼 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could inject arbitrary Search Processing Language (SPL) commands through the geostats command. The injected SPL runs with the permissions of another authenticated user after that user initiates the attacker-controlled geostats search in Splunk Web. The injected SPL could expose all relevant data available to the second user, including stored credentials, and modify lookup files that the second user has permission to change. The vulnerability is possible because the geostats command does not sufficiently validate input before Splunk Enterprise processes it. The vulnerability requires the attacker to phish the affected user by tricking them into initiating a request within their browser. The user who does not hold the "admin" or "power" Splunk roles should not be able to exploit the vulnerability at will. For more information see geostats (https://help.splunk.com/en/splunk-enterprise/spl-search-reference/10.0/search-commands/geostats) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
피싱을 통해 권한이 있는 사용자가 공격자가 조작한 geostats 검색 요청을 브라우저에서 실행하도록 유도
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 취약한 버전 범위에 해당한다면 즉시 업데이트가 필요합니다.
splunk version | grep -E '10.4.2|10.2.6|10.0.9|9.4.14'