Splunk Enterprise 9.0.0 < 9.0.9、9.1.0 < 9.1.4、9.2.0 < 9.2.1 (SVD-2024-0301)
high Nessus 插件 ID 192633
语言：
简介
远程 Web 服务器主机上运行的应用程序受到一个漏洞的影响描述
远程主机上安装的 Splunk 版本低于测试版本。因此，该应用程序受到 SVD-2024-0301 公告中提及的漏洞的影响。- 在版本低于 9.2.1、 9.1.4 和 9.0.9 的 Splunk Enterprise 中，软件可能在标记验证过程中暴露身份验证标记。当 Splunk Enterprise 以调试模式运行或者 JsonWebToken 组件已配置为在调试日志记录级别记录其活动时，就会发生此类信息暴露。(CVE-2024-29945)
请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
根据您配置 Splunk Enterprise 实例的方式，有多种解决方案。首先，确定是否启用调试日志记录，是全局记录，还是为 JsonWebToken 组件记录。您必须以管理员用户或同等身份登录 Splunk Enterprise 实例，才能执行这些操作。要确定实例上当前的全局日志记录模式：在 Web 浏览器中，访问 Splunk Web 中的“服务器日志设置”页面（网址为 /en- US/ manager/system/server/logger）。在加载的页面上查看“日志记录级别”列。如果此列中的每行显示“调试”作为日志记录级别，则 Splunk Enterprise 实例处于调试模式。否则，该实例就不处于调试模式。确定 JsonWebToken 处理器的当前日志记录级别：在 Web 浏览器中，访问 /en-US/manager/system/server/logger?search=JsonWebToken，搜索 JsonWebToken 处理器配置。检查处理器的“日志记录级别”列。如果此行的值为“调试”，则处理器当前会记录在调试级别的活动。请参阅“启用调试日志记录”，以了解更多信息。如果这些步骤中的任一步骤确定调试日志记录已全局启用或针对 JsonWebToken 组件启用，则通过执行以下任务解决问题：将 Splunk Enterprise 升级到 9.2.1、9.1.4、9.0.9 或更高版本。在 Splunk Enterprise 实例中删除以下日志文件：$SPLUNK_HOME/var/log/splunk/splunkd.log 登录 Splunk Enterprise 实例中的 Splunk Web，并通过运行以下搜索命令从 _internal 索引中删除 JsonWebToken 组件的所有日志文件事件：index=_internal component=JsonWebToken | delete 备注：要使用 delete SPL 命令，需具备 can_delete 角色，而默认情况下管理员不会获得此角色。请参阅“delete”，以了解有关 delete 搜索命令的更多信息。在登录状态下，轮换任何可能暴露的身份验证标记。如需更多相关信息，请参阅“管理或删除身份验证标记”。
另见
插件详情
严重性: High
ID: 192633
文件名: splunk_921_cve-2024-29945.nasl
版本: 1.2
类型: combined
代理: windows, macosx, unix
系列: CGI abuses
发布时间: 2024/3/27
最近更新时间: 2024/4/26
配置: 启用偏执模式
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.9
CVSS v2
风险因素: High
基本分数: 8.3
时间分数: 6.1
矢量: CVSS2#AV:N/AC:L/Au:M/C:C/I:C/A:C
CVSS 分数来源: CVE-2024-29945
CVSS v3
风险因素: High
基本分数: 7.2
时间分数: 6.3
矢量: CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/a:splunk:splunk
必需的 KB 项: Settings/ParanoidReport, installed_sw/Splunk
易利用性: No known exploits are available
补丁发布日期: 2024/3/27
漏洞发布日期: 2024/3/27
参考资料信息
CVE: CVE-2024-29945
CWE: 532
IAVA: 2024-A-0187