🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 Data Orchestration 작업 엔드포인트를 통해 임의의 SQL 쿼리를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 데이터 오케스트레이션 작업 필터 값이 매개변수화된 쿼리를 사용하지 않고 구축되기 때문에 발생하며, 타인의 작업 및 저장된 연결 자격 증명을 포함한 거의 모든 데이터에 접근할 수 있게 합니다.
💡 쉬운 설명
권한이 낮은 사용자가 조작된 명령어를 입력하여 시스템의 데이터베이스에 몰래 접근할 수 있는 보안 구멍입니다. 이를 통해 다른 사용자의 작업 내용이나 중요한 비밀번호 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could execute attacker-chosen Structured Query Language (SQL) queries through the Data Orchestration jobs endpoint, allowing for access to substantially all data stored by Data Orchestration, including jobs owned by other users and stored connection credentials. The vulnerability is possible because Data Orchestration builds a database query from user-controlled job filter values without using parameterized queries. For more information see About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
Data Orchestration 작업 필터 값에 조작된 SQL 쿼리를 삽입하는 SQL 인젝션 공격
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위에 포함되는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/ (10\[\.\d+\.\d+\]|9\.\d+\.\d+)'