🇰🇷 한글 설명
Splunk Enterprise Security 8.6.1 미만 버전에서 mc_investigation_read 권한을 가진 사용자가 Analyst Queue 검색 필터를 통해 SPL(Search Processing Language)을 주입할 수 있는 취약점이 발견되었습니다. 이 취약점을 악용하면 해당 사용자가 실행하는 예약된 검색의 모든 관련 데이터와 시스템 무결성에 접근할 수 있습니다. 이는 Analyst Queue의 필터 필드 이름을 검증하지 않는 설계 결함으로 인해 발생합니다.
💡 쉬운 설명
특정 권한을 가진 사용자가 검색 필터창에 특수 명령어를 입력하여 시스템의 숨겨진 데이터까지 몰래 조회할 수 있는 보안 약점입니다. 필터 입력값에 대한 검증이 부족하여 발생하는 문제로, 권한을 남용한 데이터 유출 위험이 있습니다.
🇺🇸 원문 (English)
In Splunk Enterprise Security versions below 8.6.1, a user who holds a Splunk Enterprise Security role that contains the mc_investigation_read capability could inject Search Processing Language (SPL) through Analyst Queue search filters, allowing for access to all relevant data and system integrity available to the scheduled searches that run for that user. The vulnerability is possible because the Analyst Queue search filter handling does not validate filter field names before the fields are included in SPL searches. For more information see Users and roles for Splunk Enterprise Security (https://help.splunk.com/en/splunk-enterprise-security-8/install/8.4/installation/users-and-roles-for-splunk-enterprise-security), Manage analyst workflows using the analyst queue in Splunk Enterprise Security (https://help.splunk.com/en/splunk-enterprise-security-8/administer/8.4/mission-control/manage-analyst-workflows-using-the-analyst-queue-in-splunk-enterprise-security), and Overview of Mission Control in Splunk Enterprise Security (https://help.splunk.com/en/splunk-enterprise-security-8/user-guide/8.5/mission-control/overview-of-mission-control-in-splunk-enterprise-security) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise Security versions below 8.6.1
⚔️ 공격 벡터
Analyst Queue의 검색 필터 필드 이름에 악의적인 SPL 명령어를 주입하여 실행
🛡️ 대응 방법
Splunk Enterprise Security를 8.6.1 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 정보가 8.6.1 미만인지 확인하여 취약 여부를 판단합니다.
splunk show version | grep -E 'Splunk Enterprise Security'