Exécution potentielle de commandes à distance (RCE) par le biais d'une écriture de fichier arbitraire dans le répertoire racine du système Windows lorsque Splunk Enterprise for Windows est installé sur un disque séparé

L'exploitation réussie de cette vulnérabilité permet à un attaquant d'écrire des fichiers arbitraires sur le système Windows où Splunk Enterprise est installé. Cela pourrait conduire à l'exécution de code malveillant, à la modification de fichiers système critiques, ou à la compromission complète du serveur. L'emplacement par défaut du répertoire Windows System32 rend cette vulnérabilité particulièrement dangereuse, car elle pourrait permettre à un attaquant de prendre le contrôle du système d'exploitation. Bien qu'il n'y ait pas de rapports publics d'exploitation active, la possibilité d'écrire dans un répertoire système critique représente un risque significatif, en particulier dans les environnements où les contrôles d'accès sont mal configurés.

Organizations utilizing Splunk Enterprise for Windows, particularly those with deployments on separate drives and with less stringent access control configurations, are at risk. Environments with legacy Splunk deployments or those that haven't consistently applied security patches are especially vulnerable. Shared hosting environments where Splunk is installed could also be affected if the underlying host system is compromised.

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.Principal.Identity.Name -like "*splunk*"}

• windows / supply-chain:

Get-Process | Where-Object {$_.ProcessName -like "*splunk*"} | Select-Object -ExpandProperty CommandLine

• windows / supply-chain:

Get-WinEvent -LogName Security -Filter "EventID=4663" -MaxEvents 100 | Where-Object {$_.Properties[0].Value -like "*splunk*"}

1. 2024-10-14Disclosure

   disclosure

1. Réservé2024-09-05
2. Publiée2024-10-14
3. Modifiée2025-02-28
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour Splunk Enterprise pour Windows vers la version 9.3.1 ou ultérieure. Si la mise à jour n'est pas immédiatement possible, il est recommandé de restreindre les autorisations d'accès aux fichiers et aux répertoires utilisés par Splunk Enterprise. Envisagez de configurer un pare-feu applicatif (WAF) pour bloquer les requêtes suspectes visant à écrire des fichiers dans des emplacements non autorisés. Surveillez attentivement les journaux d'accès de Splunk Enterprise pour détecter toute activité inhabituelle. Après la mise à jour, vérifiez que les autorisations d'accès aux fichiers sont correctement configurées et que les journaux d'audit indiquent une activité normale.