🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'power' 역할을 가진 사용자가 대시보드 스파크라인 옵션에 악성 스크립트를 저장하여 다른 사용자의 브라우저에서 임의의 JavaScript를 실행할 수 있는 취약점입니다. 만약 피해자가 'admin' 권한을 가진 사용자라면, 공격자는 해당 사용자의 권한을 이용해 Splunk Web의 모든 데이터에 접근하거나 작업을 수행할 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 대시보드 설정에 몰래 악성 코드를 심어두면, 이를 보는 관리자의 브라우저에서 코드가 실행되어 관리자 권한을 탈취할 수 있는 문제입니다. 관리자가 악성 링크를 클릭하거나 특정 대시보드를 열람하도록 유도하는 방식으로 공격이 이루어집니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who holds the "power" Splunk role could store a malicious script in dashboard sparkline format options and execute unauthorized JavaScript in the browser of another user who views the dashboard. If the other user holds the "admin" Splunk role, the script could access all relevant data available through Splunk Web and perform actions with that user's permissions. The vulnerability is possible because Splunk Web does not limit the permitted dashboard visualization options to safe presentation settings and does not escape tooltip values before rendering them. The vulnerability requires the attacker to phish the affected user by tricking them into initiating a request within their browser. The user who holds the "power" Splunk role should not be able to exploit the vulnerability at will. For more information see About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
공격자가 'power' 권한을 이용해 악성 스크립트가 포함된 대시보드를 생성한 후, 'admin' 권한 사용자가 이를 조회하도록 피싱을 통해 유도함
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(10.4.2, 10.2.6, 10.0.9, 9.4.14 미만)에 해당하는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/([0-9]+\.[0-9]+\.[0-9]+)'