🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 일반 구성 엔드포인트를 통해 스크립트 룩업을 생성하거나 수정할 수 있는 취약점입니다. 이를 통해 공격자는 Splunk 실행 계정의 권한으로 설치된 룩업 스크립트를 실행하여 모든 데이터에 접근하고 시스템의 무결성과 가용성을 해칠 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템 설정 기능을 악용하여 관리자 권한을 가진 프로그램을 몰래 실행할 수 있는 보안 결함입니다. 이를 통해 해커가 중요한 데이터를 훔치거나 시스템을 망가뜨릴 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could create or modify a scripted lookup through generic configuration endpoints and run an installed lookup script with the permissions of the user account running Splunk Enterprise, which could allow for access to all relevant data and affect system integrity and availability. The vulnerability is possible because the generic transforms configuration endpoints do not enforce the capabilities required to create or edit external lookup definitions. For more information see Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) and limits.conf (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.4/configuration-file-reference/10.4.2-configuration-file-reference/limits.conf) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
권한이 제한된 사용자가 취약한 구성 엔드포인트를 통해 악성 스크립트 룩업을 생성 및 실행
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 취약한 버전 범위에 포함되는지 확인하여 업데이트 필요 여부를 판단합니다.
splunk version | grep -E '10.4.2|10.2.6|10.0.9|9.4.14'