🇰🇷 한글 설명
Splunk Enterprise 및 Secure Gateway의 특정 버전에서 권한이 낮은 사용자가 조작된 보고서 알림 데이터를 사용하여 시스템 수준의 세션 토큰을 탈취할 수 있는 취약점입니다. 공격자는 이를 통해 REST API에 접근하여 플랫폼 설정을 변경하고 시스템 무결성을 훼손할 수 있습니다.
💡 쉬운 설명
관리자 권한이 없는 일반 사용자가 가짜 알림 데이터를 보내 시스템의 마스터 키를 훔치는 공격입니다. 이 키를 얻으면 비밀번호 없이 모든 데이터에 접근하고 시스템 설정을 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, and Splunk Secure Gateway versions below 3.10.9, 3.9.23, and 3.8.70, a user who does not hold the "admin" or "power" Splunk roles could use crafted report notification data to cause Splunk Secure Gateway to send a request to the Splunk Enterprise Representational State Transfer (REST) API using a system-level session token and modify the Splunk platform configuration. The user could then obtain a session token without a password and use it to access all relevant data and affect system integrity. The vulnerability is possible because Splunk Secure Gateway does not validate decoded report notification identifiers before using them to construct requests to the Splunk Enterprise REST API.
📍 영향받는 시스템
Splunk Enterprise (< 10.4.2, 10.2.6, 10.0.9, 9.4.14), Splunk Secure Gateway (< 3.10.9, 3.9.23, 3.8.70)
⚔️ 공격 벡터
조작된 보고서 알림 식별자를 사용하여 Splunk Secure Gateway가 시스템 세션 토큰을 포함한 REST API 요청을 보내도록 유도
🛡️ 대응 방법
Splunk Enterprise 및 Secure Gateway를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(예: Enterprise 10.4.2 미만)에 해당하는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/Splunk Secure Gateway'