🇰🇷 한글 설명
Splunk Enterprise 10.4.2 미만 버전에서 검색 헤드 클러스터 관리 권한을 가진 사용자가 REST API를 통해 임의의 파일 쓰기가 가능합니다. 이 취약점을 악용하면 원격 코드 실행(RCE)이 가능하며, Splunk 배포 환경의 데이터 무결성과 가용성에 영향을 줄 수 있습니다.
💡 쉬운 설명
높은 권한을 가진 사용자가 시스템의 허점을 이용해 몰래 악성 파일을 저장하고 실행할 수 있는 보안 결함입니다. 이를 통해 공격자가 시스템을 마음대로 조종하거나 데이터를 훔칠 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, a user with a high-privilege Splunk role that can manage search head clustering could use the search head cluster member bundle Representational State Transfer (REST) API to write files to locations that the user account running Splunk Enterprise can write to, which could allow for remote code execution. Successful exploitation could result in access to all relevant data and could affect the integrity and availability of the Splunk deployment. The vulnerability does not affect Splunk Enterprise versions below 10.4. The vulnerability is possible because the search head cluster member bundle REST API does not enforce the expected authorization boundary and does not validate bundle paths before accepting bundle content. For more information see Using the REST API reference (https://help.splunk.com/en/splunk-enterprise/rest-api-reference/10.2/introduction/using-the-rest-api-reference), About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access), and About distributed search (https://help.splunk.com/en/splunk-enterprise/administer/distributed-search/9.4/overview-of-distributed-search/about-distributed-search) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4 미만 버전 (10.4.2 미만)
⚔️ 공격 벡터
검색 헤드 클러스터 멤버 번들 REST API를 통한 경로 검증 미흡 및 권한 경계 미설정 악용
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 10.4.2 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 Splunk Enterprise 10.4.2 미만 버전(예: 10.2, 10.3 등)이 표시되면 취약한 상태입니다.
splunk version | grep -E 'Splunk Enterprise/10\.[0-3]\.'