🇰🇷 한글 설명
Cisco Talos Intelligence for Enterprise Security Cloud 1.0.3 미만 버전에서 인증되지 않은 사용자가 Splunk Web의 정적 파일 경로를 통해 OpenAPI 사양에 접근할 수 있는 취약점이 발견되었습니다. 노출된 사양을 통해 공격자는 애드온의 REST API 엔드포인트와 인증 모델에 대한 정보를 수집하여 정찰 활동에 활용할 수 있습니다.
💡 쉬운 설명
인증 없이도 시스템의 설계도와 같은 API 정보가 외부로 노출될 수 있는 문제입니다. 공격자는 이 정보를 이용해 시스템의 구조를 파악하고 다음 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
In Cisco Talos Intelligence for Enterprise Security Cloud versions below 1.0.3, an unauthenticated user could access the add-on OpenAPI specification through Splunk Web static file paths. The exposed specification could allow for reconnaissance of the add-on Representational State Transfer (REST) API endpoints and authentication model. The vulnerability is possible because the generated OpenAPI specification is packaged in a static file path that Splunk Web serves without authentication. For more information see Deploy Cisco Talos Intelligence for Splunk Enterprise Security (https://help.splunk.com/en/splunk-enterprise-security-8/user-guide/8.0/introduction/deploy-cisco-talos-intelligence-for-splunk-enterprise-security-cloud-only) in the Splunk documentation.
📍 영향받는 시스템
Cisco Talos Intelligence for Enterprise Security Cloud versions below 1.0.3
⚔️ 공격 벡터
인증되지 않은 사용자가 Splunk Web의 정적 파일 경로를 통해 OpenAPI 사양 파일에 직접 접근
🛡️ 대응 방법
Cisco Talos Intelligence for Enterprise Security Cloud를 1.0.3 이상의 최신 버전으로 업데이트
🔧 검증 코드
명령어 결과로 HTTP 200 OK가 반환되면 인증 없이 OpenAPI 사양 파일에 접근 가능한 상태이므로 취약한 것입니다.
curl -I -s http://<target_ip>/<splunk_web_path>/openapi.json | grep 'HTTP/1.1 200 OK'