Splunk Enterprise 远程代码执行漏洞（CVE-2023-40595）

一、漏洞概述

CVE   ID	CVE-2023-40595	发现时间	2023-08-31
类    型	反序列化	等    级	高危
攻击向量	网络	所需权限	低
攻击复杂度	低	用户交互	无
PoC/EXP	未公开	在野利用	未知

Splunk Enterprise是一款专业的数据分析软件，能够对采样的数据以及统计图做出专业分析，支持跨平台使用，常用于金融、IT、财务等多个领域。

8月31日，启明星辰VSRC监测到Splunk Enterprise中修复了一个远程代码执行漏洞（CVE-2023-40595），该漏洞的CVSSv3评分为8.8。

Splunk Enterprise 版本8.2.12、9.0.6和 9.1.1之前，远程威胁者可以执行特制查询。该漏洞需要使用collect SPL 命令，该命令会在 Splunk Enterprise 安装中写入文件，可使用该文件提交序列化的Payload，从而导致执行任意代码。

此外，Splunk Enterprise 版本8.2.12、9.0.6 和 9.1.1中还修复了以下多个漏洞：

CVE-2023-40598：使用外部查找在 Splunk Enterprise 中进行命令注入（高危）

CVE-2023-40597：使用 runshellscript.py 在 Splunk Enterprise 中进行绝对路径遍历（高危）

CVE-2023-40596：由于 DLL 中不安全的 OPENSSLDIR 构建定义引用导致 Windows 上的 Splunk Enterprise 权限提升（高危）

CVE-2023-40594：通过“printf”搜索功能拒绝服务（中危）

CVE-2023-40593：Splunk Enterprise 中使用格式错误的 SAML 请求拒绝服务（中危），可升级到Splunk Enterprise 8.2.12 和 9.0.6。

CVE-2023-40592：/app/search/table Web 端点上的反射型XSS（高危）

 

二、影响范围

Splunk Enterprise 8.2版本：8.2.0 - 8.2.11

Splunk Enterprise 9.0版本：9.0.0 - 9.0.5

Splunk Enterprise 9.1版本：9.1.0

Splunk Cloud版本：<= 9.0.2305.100

注：针对CVE-2023-40595，如果 Splunk Enterprise 实例不运行 Splunk Web，则不易受到该漏洞影响。此外，Splunk Enterprise 9.1版本不受CVE-2023-40593漏洞影响。

 

三、安全措施

3.1 升级版本

目前这些漏洞已经修复，受影响用户可升级到以下版本：

Splunk Enterprise 8.2版本：8.2.12

Splunk Enterprise 9.0版本：9.0.6

Splunk Enterprise 9.1版本：9.1.1

Splunk Cloud版本：9.0.2305.200

下载链接：

https://www.splunk.com/

3.2 临时措施

针对CVE-2023-40595，如果用户不在分布式环境中的索引器上登录 Splunk Web，请禁用这些索引器上的 Splunk Web。有关禁用Splunk Web 的详细信息，请参阅 Splunk 文档中的禁用不必要的 Splunk Enterprise 组件和 web.conf 配置规范文件。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://advisory.splunk.com/advisories/SVD-2023-0804

https://advisory.splunk.com/advisories/SVD-2023-0807

https://nvd.nist.gov/vuln/detail/CVE-2023-40595

原文始发于微信公众号（维他命安全）：【漏洞通告】Splunk Enterprise 远程代码执行漏洞（CVE-2023-40595）