🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 인증되지 않은 공격자가 조작된 Splunk Web 링크를 통해 인증된 사용자가 임의의 SPL 명령을 실행하도록 유도할 수 있는 취약점입니다. 이 취약점은 URL을 통해 전달된 폼 토큰 값이 중립화되지 않고 SPL 검색에 그대로 삽입되기 때문에 발생하며, 공격자는 이를 통해 사용자의 권한으로 모든 관련 데이터에 접근할 수 있습니다.
💡 쉬운 설명
해커가 만든 가짜 링크를 클릭하면, 사용자가 자신도 모르게 중요한 데이터를 조회하거나 조작하는 명령어를 실행하게 됩니다. 이는 사용자의 권한을 도용하여 시스템 내부 정보를 훔쳐보는 방식의 공격입니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.2.6, 10.0.9, and 9.4.14, an unauthenticated user could trick an authenticated user into running arbitrary Search Processing Language (SPL) commands using the permissions of the authenticated user through a crafted Splunk Web link. The SPL commands could access all relevant data. The vulnerability does not affect Splunk Enterprise 10.4 versions and above. The vulnerability is possible because Splunk Web substitutes form token values supplied through the Uniform Resource Locator (URL) into SPL searches without neutralizing them. The vulnerability requires the attacker to phish the user by tricking them into opening the crafted link. The unauthenticated user should not be able to exploit the vulnerability at will. For more information see Token reference (https://help.splunk.com/en/splunk-enterprise/create-dashboards-and-reports/simple-xml-dashboards/10.2/simple-xml-reference/token-reference) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
피싱 링크를 통해 인증된 사용자가 조작된 URL을 클릭하도록 유도하는 사회공학적 공격
🛡️ 대응 방법
Splunk Enterprise를 10.4 이상 버전으로 업데이트하거나 최신 보안 패치가 적용된 버전으로 업그레이드하십시오.
🔧 검증 코드
명령어 결과에 표시된 버전이 취약한 범위(10.2.6, 10.0.9, 9.4.14 미만)에 해당하면 취약한 상태입니다.
splunk version | grep -E 'Splunk Enterprise (10.2|10.0|9.4)'