🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 관리자 권한이 없는 사용자가 조작된 지식 번들 델타(knowledge bundle delta)를 제출하여 클러스터 매니저 내의 임의 파일을 삭제할 수 있는 취약점이 발견되었습니다. 이 취약점은 지식 번들 델타 처리 시 삭제 경로를 스테이징 디렉토리로 제한하지 않고 권한 경계를 강제하지 않아 발생하며, 시스템 무결성을 해치고 서비스를 중단시킬 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 특수한 파일을 보내 시스템에 있는 중요한 파일을 마음대로 지울 수 있는 보안 약점입니다. 이로 인해 서비스가 멈추거나 시스템 설정이 망가질 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could submit a crafted knowledge bundle delta to delete arbitrary files accessible to Splunk Enterprise on a cluster manager. This could affect system integrity and disrupt service. The vulnerability is possible because knowledge bundle delta processing does not restrict removal paths to the staging directory and the endpoint does not enforce the expected authorization boundary. For more information see Knowledge bundle replication overview (https://help.splunk.com/en/splunk-enterprise/administer/distributed-search/10.4/knowledge-bundle-replication/knowledge-bundle-replication-overview) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
권한이 낮은 사용자가 조작된 지식 번들 델타를 클러스터 매니저에 전송하여 임의 파일 삭제
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(10.4.2, 10.2.6, 10.0.9, 9.4.14 미만)에 해당하는지 확인하십시오.
splunk version | grep -E 'Splunk Enterprise/ (10\[\.\d+\.\d+\]|9\.\d+\.\d+)'