Windowsシステムルートディレクトリへの任意のファイル書き込みによる潜在的なリモートコマンド実行 (RCE) (Remote Command Execution) - Splunk Enterprise for Windowsを別のディスクにインストールしている場合

この脆弱性は、権限の低いユーザーがシステムドライブ上の重要なシステムファイルに影響を与える可能性を秘めています。攻撃者は、Splunk Enterpriseのインストールディレクトリとは異なるドライブにインストールされたシステムにファイルを書き込むことができます。これにより、システムファイルの改ざん、マルウェアの実行、またはシステムの不安定化を引き起こす可能性があります。特に、Windows System32フォルダへの書き込みは、システムの整合性を損なう重大なリスクをもたらします。この脆弱性は、類似のファイルアクセス脆弱性と同様に、システム全体のセキュリティを脅かす可能性があります。

Organizations utilizing Splunk Enterprise for Windows, particularly those with deployments on separate drives and with less stringent access control configurations, are at risk. Environments with legacy Splunk deployments or those that haven't consistently applied security patches are especially vulnerable. Shared hosting environments where Splunk is installed could also be affected if the underlying host system is compromised.

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.Principal.Identity.Name -like "*splunk*"}

• windows / supply-chain:

Get-Process | Where-Object {$_.ProcessName -like "*splunk*"} | Select-Object -ExpandProperty CommandLine

• windows / supply-chain:

Get-WinEvent -LogName Security -Filter "EventID=4663" -MaxEvents 100 | Where-Object {$_.Properties[0].Value -like "*splunk*"}

1. 2024-10-14Disclosure

   disclosure

1. 予約済み2024-09-05
2. 公開日2024-10-14
3. 更新日2025-02-28
4. EPSS 更新日2026-04-02

Splunk Enterpriseをバージョン9.3.1にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートが利用できない場合、Splunk Enterpriseがインストールされているドライブへのアクセスを制限する、ファイルシステムのパーミッションを厳格化するなどの緩和策を講じる必要があります。また、WAF（Web Application Firewall）やIPS（Intrusion Prevention System）などのセキュリティデバイスを使用して、悪意のあるファイル書き込み試行を検知およびブロックすることも有効です。アップデート後、Splunk Enterpriseのログを監視し、異常なファイルアクセスイベントがないか確認してください。