🇰🇷 한글 설명
Splunk Enterprise 및 Secure Gateway의 특정 버전에서 관리자 권한이 없는 사용자가 보고서 알림 기능을 악용하여 SSRF 공격을 수행할 수 있습니다. 이 취약점을 통해 내부 서비스에 인증된 요청을 보내 Search Head Cluster 상태를 변경하거나 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템을 속여 내부의 중요한 설정에 접근하거나 시스템을 마비시킬 수 있는 보안 약점입니다. 보고서 알림 기능이 입력값을 제대로 검사하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, and Splunk Secure Gateway versions below 3.10.9, 3.9.23, and 3.8.70, a user who does not hold the "admin" or "power" Splunk roles could use Server-Side Request Forgery (SSRF) in report notifications to send system-authenticated requests to internal Splunk services, which could allow for changes to Search Head Cluster state and a denial of service. The vulnerability is possible because Splunk Secure Gateway does not validate report notification path values before it sends internal requests.
📍 영향받는 시스템
Splunk Enterprise < 10.4.2, 10.2.6, 10.0.9, 9.4.14; Splunk Secure Gateway < 3.10.9, 3.9.23, 3.8.70
⚔️ 공격 벡터
보고서 알림 경로 값에 조작된 URL을 입력하여 내부 서비스로 요청을 전달하는 SSRF 공격
🛡️ 대응 방법
Splunk Enterprise 및 Secure Gateway를 명시된 보안 패치 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위에 포함되는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/Splunk Secure Gateway'