🇰🇷 한글 설명
Cisco Talos Intelligence for Enterprise Security Cloud 1.0.3 미만 버전에서 get_talos_enrichment 권한을 가진 사용자가 조작된 REST API 요청을 보내 인스턴스가 공격자 서버로 외부 요청을 보내도록 유도할 수 있습니다. 이 과정에서 토큰이 노출되어 Splunk 인스턴스의 모든 관련 데이터와 시스템 무결성이 침해될 수 있습니다.
💡 쉬운 설명
특정 권한을 가진 사용자가 악의적인 요청을 보내면 시스템이 공격자의 서버로 중요한 정보를 몰래 보내게 됩니다. 이로 인해 시스템의 보안 토큰이 유출되어 전체 데이터가 위험에 처할 수 있습니다.
🇺🇸 원문 (English)
In Cisco Talos Intelligence for Enterprise Security Cloud versions below 1.0.3, a user that holds a role with the get_talos_enrichment capability could send a crafted request to the Talos intelligence enrichment Representational State Transfer (REST) API endpoint and cause the instance to make an outbound request to an attacker-controlled server. The request could expose tokens that compromise all relevant data and system integrity in the Splunk instance. The vulnerability is possible because the Talos intelligence enrichment REST endpoint accepts the destination for authenticated Splunk management requests from request data. For more information see Deploy Cisco Talos Intelligence for Splunk Enterprise Security (https://help.splunk.com/en/splunk-enterprise-security-8/user-guide/8.0/introduction/deploy-cisco-talos-intelligence-for-splunk-enterprise-security-cloud-only) in the Splunk documentation.
📍 영향받는 시스템
Cisco Talos Intelligence for Enterprise Security Cloud versions below 1.0.3
⚔️ 공격 벡터
get_talos_enrichment 권한을 이용한 조작된 REST API 요청 전송 (SSRF)
🛡️ 대응 방법
Cisco Talos Intelligence for Enterprise Security Cloud를 1.0.3 이상 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 패키지 목록에서 버전이 1.0.3 미만인지 확인하십시오.
rpm -qa | grep 'cisco-talos-intelligence' || dpkg -l | grep 'cisco-talos-intelligence'