通过向 Windows 系统根目录写入任意文件可能导致远程命令执行 (RCE)，当 Splunk Enterprise for Windows 安装在单独磁盘时

该漏洞的潜在影响非常严重。攻击者可以利用此漏洞在受影响的系统上执行任意代码，从而完全控制系统。攻击者可以上传恶意文件，例如可执行文件或脚本，并将其放置在系统关键位置，从而实现持久化访问或进一步的横向移动。由于文件被写入到 Windows System32 目录，攻击者可能能够修改或替换系统文件，导致系统不稳定或完全瘫痪。该漏洞的利用可能导致数据泄露、系统损坏以及未经授权的访问。

Organizations utilizing Splunk Enterprise for Windows, particularly those with deployments on separate drives and with less stringent access control configurations, are at risk. Environments with legacy Splunk deployments or those that haven't consistently applied security patches are especially vulnerable. Shared hosting environments where Splunk is installed could also be affected if the underlying host system is compromised.

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.Principal.Identity.Name -like "*splunk*"}

• windows / supply-chain:

Get-Process | Where-Object {$_.ProcessName -like "*splunk*"} | Select-Object -ExpandProperty CommandLine

• windows / supply-chain:

Get-WinEvent -LogName Security -Filter "EventID=4663" -MaxEvents 100 | Where-Object {$_.Properties[0].Value -like "*splunk*"}

1. 2024-10-14Disclosure

   disclosure

1. 已保留2024-09-05
2. 发布日期2024-10-14
3. 修改日期2025-02-28
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级到 Splunk Enterprise 9.3.1 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，限制 Splunk 用户的权限，确保没有低权限用户拥有写入系统根目录的权限。其次，实施严格的文件访问控制，限制对 Windows System32 目录的写入访问。第三，使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求，阻止攻击者尝试上传恶意文件。最后，监控 Splunk 日志，查找任何异常的文件写入活动。