CVE-2024-36991

Path Traversal On The “/Modules/Messaging/“ Endpoint In Splunk Enterprise On Windows

Dans Splunk Enterprise versions inférieures à 9.2.2, 9.1.5 et 9.0.10, un attaquant pourrait effectuer une traversée de chemin sur le point de terminaison /modules/messaging/ dans Splunk Enterprise sur Windows.

La vulnérabilité existe car la fonction Python os.path.join supprime la lettre de lecteur des jetons de chemin si le lecteur dans le jeton correspond au lecteur dans le chemin construit.

Cette vulnérabilité ne devrait affecter que Splunk Enterprise sur Windows.

POC

GET /en-US/modules/messaging/C:../C:../C:../C:../C:../C:../C:../C:../Windows/win.ini
GET /en-US/modules/messaging/C:../C:../C:../C:../C:../etc/passwd

Versions affectées

affecté de 9.2 avant 9.2.2

affecté de 9.1 avant 9.1.5

affecté de 9.0 avant 9.0.10

Solution

Mettez à niveau Splunk Enterprise vers les versions 9.2.2, 9.1.5 et 9.0.10, ou supérieures.

Crédits

Danylo Dmytriiev (DDV_UA)

Références

• https://advisory.splunk.com/advisories/SVD-2024-0711
• https://www.cve.org/CVERecord?id=CVE-2024-36991