🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 list_search_head_clustering 권한을 가진 사용자가 Search Head Cluster 멤버 제어 엔드포인트에 읽기 요청을 보내 클러스터 상태를 변경할 수 있습니다. 이 취약점은 제어 엔드포인트가 읽기 전용 권한을 적용하기 전에 상태 변경 HTTP 요청 유형을 요구하지 않아 발생하며, 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
높은 권한을 가진 사용자가 시스템의 설정값을 읽는 척하면서 실제로는 시스템 상태를 바꿔버릴 수 있는 문제입니다. 이로 인해 검색 헤드 클러스터가 제대로 작동하지 않고 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who holds a Splunk role that contains the high-privilege list_search_head_clustering capability could send a read request to Search Head Cluster member control endpoints and change cluster state, which could allow for a denial of service. The vulnerability is possible because the Search Head Cluster member control endpoints do not require a state-changing Hypertext Transfer Protocol (HTTP) request type before they apply read-only authorization.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
list_search_head_clustering 권한을 가진 사용자가 조작된 HTTP 요청을 통해 클러스터 제어 엔드포인트에 접근
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 보안 패치가 완료된 버전 번호가 나타나면 안전하며, 그 미만 버전이 나타나면 취약한 상태입니다.
splunk version | grep -E 'Splunk/10.4.2|Splunk/10.2.6|Splunk/10.0.9|Splunk/9.4.14'