01 漏洞详情

影响组件

Splunk Enterprise 是一款强大的机器数据管理和分析平台，能够实时收集、索引、搜索、分析和可视化来自各种数据源的日志和数据，帮助企业提升运营效率、增强安全性和优化业务决策。

漏洞描述

近日，奇安信CERT监测到Splunk Enterprise 任意文件读取漏洞(CVE-2024-36991) 在互联网上公开，在特定版本的 Windows 版 Splunk Enterprise 中，未经身份认证的攻击者可以在 /modules/messaging/ 接口通过目录穿越的方式读取任意文件，造成用户信息的泄露。目前该漏洞技术细节与EXP已在互联网上公开，鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

02 影响范围

影响版本

9.2 <= Splunk Enterprise < 9.2.2

9.1 <= Splunk Enterprise < 9.1.5

9.0 <= Splunk Enterprise < 9.0.10

其他受影响组件

无

03 复现情况

目前，奇安信威胁情报中心安全研究员已成功复现Splunk Enterprise 任意文件读取漏洞(CVE-2024-36991)，截图如下：

04 受影响资产情况

奇安信鹰图资产测绘平台数据显示，Splunk Enterprise 任意文件读取漏洞(CVE-2024-36991)关联的国内风险资产总数为2374个，关联IP总数为501个。国内风险资产分布情况如下：

Splunk Enterprise 任意文件读取漏洞(CVE-2024-36991)关联的全球风险资产总数为257427个，关联IP总数为105884个。全球风险资产分布情况如下：

05 处置建议

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本：

Splunk Enterprise 9.2.2

Splunk Enterprise 9.1.5

Splunk Enterprise 9.0.10

官方地址：https://www.splunk.com/zh_cn/download.html

06 参考资料

[1]https://research.splunk.com/application/e7c2b064-524e-4d65-8002-efce808567aa

[2]https://advisory.splunk.com/advisories/SVD-2024-0711

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表士冗科技立场，转载目的在于传递更多信息。如有侵权，请联系 service@expshell.com。