Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。

安全通告

Splunk Enterprise是机器数据的引擎。使用Splunk可收集、索引和利用所有应用程序、服务器和设备生成的快速移动型计算机数据。关联并分析跨越多个系统的复杂事件。获取新层次的运营可见性以及IT和业务智能。

近日，奇安信CERT监测到Splunk Enterprise中存在远程代码执行漏洞(CVE-2022-43571)。由于Splunk Enterprise 中 SimpleXML仪表板存在代码注入，经过身份验证的远程攻击者可构造特制的数据包，通过PDF导出操作触发任意代码执行。目前，此漏洞技术细节与POC已公开。鉴于此漏洞影响范围较大，建议客户尽快做好自查，及时更新至最新版本。

漏洞名称	Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)
公开时间	2022-11-03	更新时间	2022-12-22
CVE编号	CVE-2022-43571	其他编号	QVD-2022-43472 CNNVD-202211-1954
威胁类型	代码执行	技术类型	代码注入
厂商	Splunk	产品	Splunk Enterprise
风险等级
奇安信CERT风险评级		风险等级
高危		蓝色（一般事件）
现时威胁状态
POC状态	EXP状态	在野利用状态	技术细节状态
已公开	未发现	未发现	已公开
漏洞描述	Splunk Enterprise中存在远程代码执行漏洞。由于Splunk Enterprise 中 SimpleXML仪表板存在代码注入，经过身份验证的远程攻击者可构造特制的数据包，通过PDF导出操作触发任意代码执行。
影响版本	Splunk Enterprise 8.1.x< 8.1.12 Splunk Enterprise 8.2.x< 8.2.9 Splunk Enterprise 9.0.x < 9.0.2 Splunk Cloud Platform < 9.0.2209
不受影响版本	Splunk Enterprise 8.1.x >= 8.1.12 Splunk Enterprise 8.2.x >= 8.2.9 Splunk Enterprise 9.0.x >= 9.0.2 Splunk Cloud Platform >= 9.0.2209
其他受影响组件	无

奇安信CERT已成功复现Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)，截图如下：

威胁评估

漏洞名称	Splunk Enterprise远程代码执行漏洞
CVE编号	CVE-2022-43571	其他编号		QVD-2022-43472 CNNVD-202211-1954
CVSS 3.1评级	高危	CVSS 3.1分数		8.8
CVSS向量	访问途径（AV）		攻击复杂度（AC）
	网络		低
	所需权限（PR）		用户交互（UI）
	低权限		不需要
	影响范围（S）		机密性影响（C）
	不改变		高
	完整性影响（I）		可用性影响（A）
	高		高
危害描述	Splunk Enterprise 中 SimpleXML仪表板存在代码注入，经过身份验证的远程攻击者可构造特制的数据包，通过PDF导出操作触发任意代码执行。

处置建议

目前Splunk官方已发布安全版本修复该漏洞，建议受影响用户尽快更新至对应的安全版本。

https://www.splunk.com/en_us/product-security/announcements/svd-2022-1111.html

产品解决方案

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全面支持对Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)的防护。

奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击，请将规则版本升级到3.0.1222.13683或以上版本。规则ID及规则名称：0x10021416，Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)。奇安信天眼流量探针规则升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：7688，建议用户尽快升级检测规则库至2212221600以上。

参考资料

[1]https://www.splunk.com/en_us/product-security/announcements/svd-2022-1111.html

时间线

2022年12月22日，奇安信 CERT发布安全风险通告。

点击阅读原文

到奇安信NOX-安全监测平台查询更多漏洞详情