CVE-2024-36991

Path Traversal sull'endpoint “/Modules/Messaging/” in Splunk Enterprise su Windows

Nelle versioni di Splunk Enterprise precedenti a 9.2.2, 9.1.5 e 9.0.10, un attaccante potrebbe eseguire un path traversal sull'endpoint /modules/messaging/ in Splunk Enterprise su Windows.

La vulnerabilità esiste perché la funzione Python os.path.join rimuove la lettera dell'unità dai token del percorso se l'unità nel token corrisponde all'unità nel percorso costruito.

Questa vulnerabilità dovrebbe interessare solo Splunk Enterprise su Windows.

POC

GET /en-US/modules/messaging/C:../C:../C:../C:../C:../C:../C:../C:../Windows/win.ini
GET /en-US/modules/messaging/C:../C:../C:../C:../C:../etc/passwd

Versioni interessate

interessate dalla 9.2 precedenti alla 9.2.2

interessate dalla 9.1 precedenti alla 9.1.5

interessate dalla 9.0 precedenti alla 9.0.10

Soluzione

Aggiornare Splunk Enterprise alle versioni 9.2.2, 9.1.5 e 9.0.10, o successive.

Crediti

Danylo Dmytriiev (DDV_UA)

Riferimenti

• https://advisory.splunk.com/advisories/SVD-2024-0711
• https://www.cve.org/CVERecord?id=CVE-2024-36991