🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 조작된 검색 식별자를 REST API에 전달하여 호스트의 임의 위치에 디스패치 메타데이터를 작성할 수 있는 취약점입니다. 이로 인해 시스템 무결성이 훼손될 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 특수한 명령어를 입력하여 서버의 중요한 파일이 저장되는 위치에 마음대로 파일을 쓸 수 있는 보안 결함입니다. 이로 인해 서버의 설정이 바뀌거나 시스템이 망가질 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could write dispatch metadata to an arbitrary location on the host by supplying a crafted search identifier to a Representational State Transfer (REST) API endpoint and affect system integrity on the host. The vulnerability is possible because Splunk Enterprise does not validate the search identifier before using it to create a dispatch directory. For more information see About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
REST API 엔드포인트에 조작된 search identifier를 포함하여 요청을 전송
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 최소 버전 이상인지 확인합니다.
splunk version | grep -E 'Splunk Enterprise/.*(10.4.2|10.2.6|10.0.9|9.4.14)'