Уязвимость журнала веб-службы платформы для операционного анализа Splunk Enterprise связана с неправильной обработкой выходных данных для журналов регистрации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём отправки специально сформированного HTTP-запроса, содержащего escape-коды формата ANSI
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- ограничение использования терминальных программ, поддерживающих возможность внедрения escape-кодов формата ANSI;
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа;
- использование доменных сокетов UNIX (UDS) для ограничения возможности эксплуатации уязвимости;
- отключение служб удаленного управления на Universal Forwarder;
- удаление файлов журналов Splunk Enterprise из каталога $SPLUNK_HOME/var/log/splunk/.
Использование рекомендаций производителя:
https://advisory.splunk.com/advisories/SVD-2023-0606
https://research.splunk.com/application/de3908dc-1298-446d-84b9-fa81d37e959b/
| Балл | 10 — критическая опасность |