查看原文
其他

Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)安全风险通告

QAX CERT 奇安信 CERT 2022-12-23

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告有效解决方案。




安全通告



Splunk Enterprise是机器数据的引擎。使用Splunk可收集、索引和利用所有应用程序、服务器和设备生成的快速移动型计算机数据。关联并分析跨越多个系统的复杂事件。获取新层次的运营可见性以及IT和业务智能。

近日,奇安信CERT监测到Splunk Enterprise中存在远程代码执行漏洞(CVE-2022-43571)。由于Splunk Enterprise 中 SimpleXML仪表板存在代码注入,经过身份验证的远程攻击者可构造特制的数据包,通过PDF导出操作触发任意代码执行。目前,此漏洞技术细节与POC已公开。鉴于此漏洞影响范围较大,建议客户尽快做好自查,及时更新至最新版本。


漏洞名称

Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)

公开时间

2022-11-03

更新时间

2022-12-22

CVE编号

CVE-2022-43571

其他编号

QVD-2022-43472

CNNVD-202211-1954

威胁类型

代码执行

技术类型

代码注入

厂商

Splunk

产品

Splunk Enterprise

风险等级

奇安信CERT风险评级

风险等级

高危

蓝色(一般事件)

现时威胁状态

POC状态

EXP状态

在野利用状态

技术细节状态

已公开

未发现

未发现

已公开

漏洞描述

Splunk Enterprise中存在远程代码执行漏洞。由于Splunk Enterprise 中 SimpleXML仪表板存在代码注入,经过身份验证的远程攻击者可构造特制的数据包,通过PDF导出操作触发任意代码执行。

影响版本

Splunk Enterprise 8.1.x< 8.1.12

Splunk Enterprise 8.2.x< 8.2.9

Splunk Enterprise 9.0.x < 9.0.2

Splunk Cloud Platform < 9.0.2209

不受影响版本

Splunk Enterprise 8.1.x >= 8.1.12

Splunk Enterprise 8.2.x >= 8.2.9

Splunk Enterprise 9.0.x >= 9.0.2

Splunk Cloud Platform >= 9.0.2209

其他受影响组件


奇安信CERT已成功复现Splunk Enterprise远程代码执行漏洞(CVE-2022-43571),截图如下:



威胁评估

漏洞名称

Splunk Enterprise远程代码执行漏洞

CVE编号

CVE-2022-43571

其他编号

QVD-2022-43472

CNNVD-202211-1954

CVSS 3.1评级

高危

CVSS 3.1分数

8.8

CVSS向量

访问途径(AV

攻击复杂度(AC

网络

所需权限(PR

用户交互(UI

低权限

不需要

影响范围(S

机密性影响(C

不改变

完整性影响(I

可用性影响(A

危害描述

Splunk Enterprise 中 SimpleXML仪表板存在代码注入,经过身份验证的远程攻击者可构造特制的数据包,通过PDF导出操作触发任意代码执行。



处置建议

目前Splunk官方已发布安全版本修复该漏洞,建议受影响用户尽快更新至对应的安全版本。

https://www.splunk.com/en_us/product-security/announcements/svd-2022-1111.html



产品解决方案

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全面支持对Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)的防护。


奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击,请将规则版本升级到3.0.1222.13683或以上版本。规则ID及规则名称:0x10021416,Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)。奇安信天眼流量探针规则升级方法:系统配置->设备升级->规则升级,选择“网络升级”或“本地升级”。


奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器(NDS5000/7000/9000系列)产品,已具备该漏洞的检测能力。规则ID为:7688,建议用户尽快升级检测规则库至2212221600以上。


参考资料

[1]https://www.splunk.com/en_us/product-security/announcements/svd-2022-1111.html



时间线

2022年12月22日,奇安信 CERT发布安全风险通告。


点击阅读原文

到奇安信NOX-安全监测平台查询更多漏洞详情

您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存