🇰🇷 한글 설명
Splunk Enterprise Security 8.6.1 미만 버전에서 ess_analyst 권한을 가진 사용자가 관리자 권한으로 실행되는 UEBA 검색 매크로를 수정할 수 있는 취약점이 존재합니다. 이로 인해 공격자는 관리자 권한의 검색을 통해 모든 관련 데이터에 접근하고 시스템 무결성을 훼손할 수 있습니다.
💡 쉬운 설명
분석가 권한을 가진 사용자가 원래는 관리자만 고칠 수 있는 검색 규칙을 마음대로 바꿀 수 있는 문제입니다. 이를 통해 일반 사용자가 관리자처럼 시스템의 모든 정보를 훔쳐보거나 조작할 수 있게 됩니다.
🇺🇸 원문 (English)
In Splunk Enterprise Security versions below 8.6.1, a user who holds the ess_analyst Splunk Enterprise Security role could change User and Entity Behavior Analytics (UEBA) search macros that scheduled searches run with administrator permissions, allowing for access to all relevant data and system integrity through those searches. The vulnerability is possible because the UEBA app metadata grants analyst roles write access to search macros that should be writable only by administrator roles. For more information see Users and roles for Splunk Enterprise Security (https://help.splunk.com/en/splunk-enterprise-security-8/install/8.4/installation/users-and-roles-for-splunk-enterprise-security) and Roles and knowledge objects in UEBA for Splunk Enterprise Security (https://help.splunk.com/en/splunk-enterprise-security-8/administer/8.5/user-and-entity-behavior-analytics/roles-and-knowledge-objects-in-ueba-for-splunk-enterprise-security) in the Splunk documentation.
📍 영향받는 시스템
Splunk Enterprise Security versions below 8.6.1
⚔️ 공격 벡터
ess_analyst 역할을 가진 사용자가 권한이 잘못 부여된 UEBA 검색 매크로를 수정하여 권한 상승 공격 수행
🛡️ 대응 방법
Splunk Enterprise Security를 8.6.1 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 정보가 8.6.1 미만인지 확인하여 취약 여부를 판단합니다.
splunk show version | grep -E 'Splunk Enterprise Security'