🇰🇷 한글 설명
Splunk SOAR 8.6.0 미만 버전에서 유효한 계정을 가진 사용자가 REST API 필터링을 악용하여 플레이북 실행 정보에서 세션 토큰을 탈취할 수 있습니다. 이 정보 노출 취약점을 통해 공격자는 해당 사용자가 접근 가능한 모든 데이터에 대한 권한을 획득할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 특수한 검색 필터를 사용하여 숨겨져 있어야 할 보안 토큰을 찾아낼 수 있는 문제입니다. 이 토큰을 손에 넣으면 사용자의 권한을 도용해 중요한 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
In Splunk SOAR versions below 8.6.0, a user with a valid Splunk SOAR account could use Representational State Transfer (REST) API filtering on playbook runs to recover session tokens that compromise all data available to the affected user. The information disclosure is possible because Splunk SOAR does not block REST API filters from matching values that responses otherwise hide. For more information see REST Run Playbook (https://help.splunk.com/en/splunk-soar/soar-cloud/rest-api-reference/run-playbook-endpoints/rest-run-playbook) in the Splunk documentation.
📍 영향받는 시스템
Splunk SOAR versions below 8.6.0
⚔️ 공격 벡터
REST API의 필터링 기능을 악용하여 응답에서 숨겨진 세션 토큰 값을 추출하는 방식
🛡️ 대응 방법
Splunk SOAR를 8.6.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 8.6.0 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s -X GET https://<splunk-soar-host>/services/restapi/version | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'