🇰🇷 한글 설명
8.7.0 미만 버전의 Splunk SOAR에서 인증되지 않은 사용자가 암호화된 자격 증명 데이터에 접근할 수 있는 경우, REST API에 Basic 인증 데이터를 제출하여 해당 데이터를 노출하고 복호화할 수 있습니다. 이는 Splunk SOAR가 인증 확인을 완료하기 전에 암호화된 Basic 인증 값을 먼저 복호화하기 때문에 발생하는 취약점입니다.
💡 쉬운 설명
해커가 암호화된 비밀번호 데이터를 가지고 있다면, 시스템의 보안 확인 절차를 거치기 전에 비밀번호를 미리 풀어버릴 수 있는 결함입니다. 이를 통해 공격자는 시스템에 저장된 중요한 로그인 정보를 알아낼 수 있습니다.
🇺🇸 원문 (English)
In Splunk SOAR versions below 8.7.0, an unauthenticated user with access to encrypted credential data from an affected Splunk SOAR instance could submit Basic authentication data to the Representational State Transfer (REST) API to expose and decrypt that encrypted credential data.
The vulnerability is possible because Splunk SOAR decrypts encrypted Basic authentication values before completing authentication checks.
The attack requires the unauthenticated user to have encrypted credential data from an affected Splunk SOAR instance. The unauthenticated user should not be able to exploit the vulnerability at will.
For more information see Using the REST API reference for Splunk SOAR (On-premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/rest-api-reference/8.5.0/using-the-splunk-soar-rest-api/using-the-rest-api-reference-for-splunk-soar-on-premises) in the Splunk documentation.
📍 영향받는 시스템
Splunk SOAR versions below 8.7.0
⚔️ 공격 벡터
암호화된 자격 증명 데이터를 탈취한 공격자가 REST API에 조작된 Basic 인증 데이터를 전송하여 복호화 유도
🛡️ 대응 방법
Splunk SOAR를 8.7.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 8.7.0 미만(예: 8.5.x, 8.6.x)이면 취약한 상태입니다.
splunk show version | grep -E '8\[.0-9\]'