🇰🇷 한글 설명
Splunk Enterprise의 특정 버전에서 관리자 권한이 없는 사용자가 조작된 REST API 요청을 통해 시스템 무결성과 가용성에 영향을 줄 수 있는 취약점이 발견되었습니다. Search Head Clustering 번들 복제 과정에서 파일 이름을 검증하지 않거나 NUL 바이트를 중화하지 않아, 사용자가 쓰기 권한을 가진 파일을 삭제하거나 덮어쓸 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 특수한 명령을 보내 시스템의 중요한 파일을 지우거나 내용을 바꿀 수 있는 보안 결함입니다. 이로 인해 서비스가 중단되거나 시스템 설정이 망가질 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could affect system integrity and availability by sending a crafted Representational State Transfer (REST) API request that deletes or temporarily overwrites files writable by the user account running Splunk Enterprise processes on a non-captain search head cluster member. The vulnerability is possible because Search Head Clustering bundle replication does not validate the name of a replicated bundle file or neutralize NUL bytes before constructing the member bundle path. For more information see About search head clustering (https://help.splunk.com/en/splunk-enterprise/administer/distributed-search/10.4/overview-of-search-head-clustering/about-search-head-clustering), Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities), and Secure Splunk Enterprise service accounts (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/9.0/install-splunk-enterprise-securely/secure-splunk-enterprise-service-accounts) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise 10.4.2 미만, 10.2.6 미만, 10.0.9 미만, 9.4.14 미만 버전
⚔️ 공격 벡터
조작된 REST API 요청을 통한 Search Head Clustering 번들 복제 파일 경로 조작
🛡️ 대응 방법
Splunk Enterprise를 최신 보안 패치가 적용된 버전(10.4.2, 10.2.6, 10.0.9, 9.4.14 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있으면 안전하며, 그 미만 버전이면 업데이트가 필요합니다.
splunk version | grep -E 'Splunk Enterprise/ (10.4.2|10.2.6|10.0.9|9.4.14)'