🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 schedule_search 권한을 가진 사용자가 이메일 경보 작업의 PDF 첨부 파일을 설정할 때 발생합니다. 검색 스케줄러가 이메일 경보 작업에 사용자 권한이 아닌 시스템 수준의 인증 컨텍스트를 전달하여, 임의의 SPL 명령을 시스템 권한으로 실행할 수 있는 취약점입니다.
💡 쉬운 설명
권한이 있는 사용자가 이메일 알림 설정에 악성 코드를 숨겨두면, 시스템이 이를 실행할 때 관리자 권한으로 작동하게 됩니다. 이로 인해 해커가 시스템의 모든 데이터를 훔치거나 시스템을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user that holds a role with the schedule_search capability could configure Portable Document Format (PDF) attachments in the email alert action workflow. When the email alert action runs, it could execute arbitrary Search Processing Language (SPL) commands with system-level privileges, expose all relevant data, and affect system integrity and availability on the search head. The vulnerability is possible because the search scheduler passes a system-level authentication context rather than the action owner context to the email alert action when it renders PDF attachments. For more information see alert_actions.conf (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.4/configuration-file-reference/10.4.0-configuration-file-reference/alert_actions.conf) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
schedule_search 권한을 가진 사용자가 이메일 경보 작업의 PDF 첨부 파일 설정에 악성 SPL 명령을 삽입하여 공격
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있으면 안전하며, 그 미만 버전이면 취약한 상태입니다.
splunk version | grep -E 'Splunk Enterprise/ (10.4.2|10.2.6|10.0.9|9.4.14)'