🇰🇷 한글 설명
Splunk Enterprise 10.4 미만 버전(10.4.2 미만)에서 인증되지 않은 사용자가 REST API를 통해 토큰 서명 키를 재로드할 수 있는 취약점이 발견되었습니다. 이 취약점은 REST API가 토큰 키 재로드 작업에 대해 인증이나 특정 권한을 요구하지 않기 때문에 발생합니다.
💡 쉬운 설명
로그인하지 않은 외부인이 Splunk 시스템의 보안 키를 강제로 다시 불러오게 만들 수 있는 문제입니다. 이 과정에서 시스템의 인증 체계에 혼란을 줄 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise 10.4 versions below 10.4.2, an unauthenticated user could cause Splunk Enterprise to reload token-signing keys through the Representational State Transfer (REST) API. The vulnerability does not affect Splunk Enterprise versions below 10.4. The vulnerability is possible because the REST API does not require authentication or the change_authentication capability for the token-key reload action. For more information see Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4 버전 중 10.4.2 미만 버전
⚔️ 공격 벡터
인증이 필요 없는 REST API를 호출하여 토큰 서명 키 재로드 명령 실행
🛡️ 대응 방법
Splunk Enterprise를 10.4.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 Splunk Enterprise 10.4 버전이 나타나되 10.4.2보다 낮은 버전이면 취약한 상태입니다.
splunk version | grep -E 'Splunk Enterprise/10.4' | grep -v '10.4.2'