Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。

安全通告

Splunk Enterprise是机器数据的引擎。使用Splunk可收集、索引和利用所有应用程序、服务器和设备生成的快速移动型计算机数据。关联并分析跨越多个系统的复杂事件。获取新层次的运营可见性以及IT和业务智能。

近日，奇安信CERT监测到Splunk Enterprise中存在远程代码执行漏洞(CVE-2022-43571)。由于Splunk Enterprise 中 SimpleXML仪表板存在代码注入，经过身份验证的远程攻击者可构造特制的数据包，通过PDF导出操作触发任意代码执行。目前，此漏洞技术细节与POC已公开。鉴于此漏洞影响范围较大，建议客户尽快做好自查，及时更新至最新版本。

漏洞名称	Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)
公开时间	2022-11-03	更新时间	2022-12-22
CVE编号	CVE-2022-43571	其他编号	QVD-2022-43472 CNNVD-202211-1954
威胁类型	代码执行	技术类型	代码注入
厂商	Splunk	产品	Splunk Enterprise
风险等级
奇安信CERT风险评级		风险等级
高危		蓝色（一般事件）
现时威胁状态
POC状态	EXP状态	在野利用状态	技术细节状态
已公开	未发现	未发现	已公开
漏洞描述	Splunk Enterprise中存在远程代码执行漏洞。由于Splunk Enterprise 中 SimpleXML仪表板存在代码注入，经过身份验证的远程攻击者可构造特制的数据包，通过PDF导出操作触发任意代码执行。
影响版本	Splunk Enterprise 8.1.x< 8.1.12 Splunk Enterprise 8.2.x< 8.2.9 Splunk Enterprise 9.0.x < 9.0.2 Splunk Cloud Platform < 9.0.2209
不受影响版本	Splunk Enterprise 8.1.x >= 8.1.12 Splunk Enterprise 8.2.x >= 8.2.9 Splunk Enterprise 9.0.x >= 9.0.2 Splunk Cloud Platform >= 9.0.2209
其他受影响组件	无

奇安信CERT已成功复现Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)，截图如下：

威胁评估

漏洞名称	Splunk Enterprise远程代码执行漏洞
CVE编号	CVE-2022-43571	其他编号		QVD-2022-43472 CNNVD-202211-1954
CVSS 3.1评级	高危	CVSS 3.1分数		8.8
CVSS向量	访问途径（AV）		攻击复杂度（AC）
	网络		低
	所需权限（PR）		用户交互（UI）
	低权限		不需要
	影响范围（S）		机密性影响（C）
	不改变		高
	完整性影响（I）		可用性影响（A）
	高		高
危害描述	Splunk Enterprise 中 SimpleXML仪表板存在代码注入，经过身份验证的远程攻击者可构造特制的数据包，通过PDF导出操作触发任意代码执行。

处置建议

目前Splunk官方已发布安全版本修复该漏洞，建议受影响用户尽快更新至对应的安全版本。

https://www.splunk.com/en_us/product-security/announcements/svd-2022-1111.html

产品解决方案

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全面支持对Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)的防护。

奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击，请将规则版本升级到3.0.1222.13683或以上版本。规则ID及规则名称：0x10021416，Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)。奇安信天眼流量探针规则升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：7688，建议用户尽快升级检测规则库至2212221600以上。

参考资料

[1]https://www.splunk.com/en_us/product-security/announcements/svd-2022-1111.html

时间线

2022年12月22日，奇安信 CERT发布安全风险通告。

点击阅读原文

到奇安信NOX-安全监测平台查询更多漏洞详情

Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)安全风险通告相关推荐

php x24 x65 x6d x61,Jboss远程代码执行漏洞CVE:2013-4810获得system权限
此方法成功的渗透至Windows系统并获得最高权限exp 此方法成功的渗透至Windows系统并获得最高权限 exp ?php/*Apache Tomcat/JBoss EJBInvokerServl ...
ImageMagick远程代码执行漏洞CVE-2016-8707 绿盟科技发布安全威胁通告
在 ImageMagicks 的转换实用程序中, TIFF 图像压缩处理存在一个写边界的问题.攻击者利用一个精心编制的 TIFF 文件,可以导致的界限写,特别是可以利用的情况下进入远程执行代码.任何用 ...
【安全风险通告】Spring Framework远程代码执行漏洞(CVE-2022-22965)安全风险通告第二次更新...
奇安信CERT 致力于第一时间为企业级用户提供安全风险通告和有效解决方案. 安全通告近日,奇安信CERT监测到Spring Framework存在远程代码执行漏洞(CVE-2022-22965),在 ...
CVE-2021-1675: Windows Print Spooler远程代码执行漏洞
** 赶紧点击上方话题进行订阅吧!** 报告编号:B6-2021-062902 报告来源:360CERT 报告作者:360CERT 更新日期:2021-06-29 1 漏洞简述 2021年06月29日 ...
绿盟安全事件响应观察及远程代码执行漏洞
人和管理成为主要入侵突破口安全需要人.技术.管理的全方位保障,然而人与管理由于其复杂性,常常成为入侵突破口.在 19 年处理的安全事件中,弱口令事件占比 22%,钓鱼邮件相关事件占比 7%,配置不 ...
CVE-2018-8174 IE浏览器远程代码执行漏洞
0x00漏洞简介在2018年5月9日的时候360发表了一份apt攻击分析及溯源报告文中提到了cve-2018-8174这个漏洞的首次在apt方面的应用原文地址:http://www.4hou.c ...
微软远程桌面服务远程代码执行漏洞
人和管理成为主要入侵突破口安全需要人.技术.管理的全方位保障,然而人与管理由于其复杂性,常常成为入侵突破口.在 19 年处理的安全事件中,弱口令事件占比 22%,钓鱼邮件相关事件占比 7%,配置不当 ...
绿盟科技网络安全威胁周报2017.17 请关注Squirrelmail 远程代码执行漏洞CVE-2017-7692...
绿盟科技发布了本周安全通告,周报编号NSFOCUS-17-17,绿盟科技漏洞库本周新增84条,其中高危40条.本次周报建议大家关注 Squirrelmail 远程代码执行漏洞 .SquirrelMai ...
MS08-067远程代码执行漏洞(CVE-2008-4250) | Windows Server服务RPC请求缓冲区溢出漏洞复现
MS08-067远程代码执行漏洞(CVE-2008-4250) | Windows Server服务RPC请求缓冲区溢出漏洞复现文章目录 MS08-067远程代码执行漏洞(CVE-2008-4250 ...

Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)安全风险通告

Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)安全风险通告相关推荐

最新文章

热门文章