🇰🇷 한글 설명
Splunk SOAR 8.6.0 미만 버전에서 CyberArk REST 클라이언트가 기본적으로 서버 인증서를 검증하지 않아 발생하는 취약점입니다. 네트워크 트래픽을 가로챌 수 있는 공격자가 Splunk SOAR와 CyberArk 서버 사이의 데이터를 탈취하거나 수정할 수 있습니다.
💡 쉬운 설명
Splunk SOAR가 CyberArk 서버와 통신할 때 상대방이 진짜인지 확인하는 절차를 생략하여 발생하는 문제입니다. 중간에서 통신 내용을 훔쳐보거나 조작하는 공격에 노출될 수 있습니다.
🇺🇸 원문 (English)
In Splunk SOAR versions below 8.6.0, an unauthenticated user who can observe or alter network traffic between Splunk SOAR and a configured CyberArk Representational State Transfer (REST) server could access or modify all relevant data exchanged through that credential manager. The vulnerability is possible because the CyberArk REST client does not verify server certificates by default. The attack requires the attacker to have network-path interception capability between Splunk SOAR and the configured CyberArk REST server. For more information see Manage your organization's credentials with a password vault (https://help.splunk.com/en/splunk-soar/soar-cloud/administer-soar-cloud/configure-administration-settings-in-splunk-soar-cloud/manage-your-organizations-credentials-with-a-password-vault) in the Splunk documentation.
📍 영향받는 시스템
Splunk SOAR versions below 8.6.0
⚔️ 공격 벡터
Splunk SOAR와 CyberArk REST 서버 사이의 네트워크 경로를 가로채는 중간자 공격(MitM)
🛡️ 대응 방법
Splunk SOAR를 8.6.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 8.6.0 미만인 경우 해당 취약점에 노출된 상태입니다.
splunk show version | grep -E '8\[.0-9\]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access