Splunk Enterprise 8.1.x < 8.1.7.1 / 8.2.x < 8.2.3.3 Log4j

critical Nessus 插件 ID 158383

简介

远程 Web 服务器主机上运行的一个应用程序可能受到多个漏洞影响。

描述

根据其自我报告的版本号,远程 Web 服务器上运行的 Splunk 版本为低于 8.1.7.1 的 Splunk Enterprise 8.1.x 或低于 8.2.3.3 的 Splunk Enterprise 8.2.x。因此,其可能受到与使用 Log4j 有关的漏洞影响,具体如下:

- 在 Log4j2 2.0-beta9 2.15.0 及之前版本(安全版本 2.12.2、2.12.3、2.3.1 除外)中,配置、日志消息和参数所使用的 JNDI 功能无法防范由攻击者控制的 LDAP 及其他 JNDI 相关端点。若启用消息查找替换,拥有日志消息或日志消息参数控制权限的攻击者可执行从 LDAP 服务器加载的任意代码。自 log4j 2.15.0 版本开始,此行为已默认禁用。自 2.16.0 版(以及2.12.2、2.12.3、2.3.1 版)起,已完全删除该项功能。请注意,此漏洞为 log4j-core 特有,不会影响 log4net、log4cxx 或其他 Apache 日志服务项目。
(CVE-2021-44228)

- 据发现,在某些非默认配置中,对 Apache Log4j 2.15.0 中地址 CVE-2021-44228 的修复不完整。当日志记录配置使用具有上下文查找(例如,$${ctx:loginId})或线程上下文映射模式(%X、%mdc 或 %MDC)的非默认模式布局来构建使用 JNDI 查找模式的恶意输入数据,该漏洞可允许攻击者控制线程上下文映射 (MDC) 输入数据,进而在某些环境下泄露信息和执行远程代码并在所有环境下执行本地代码。Log4j 2.16.0 (Java 8) 和 Log4j 2.12.2 (Java 7) 通过删除对消息查找模式的支持并默认禁用 JNDI 功能来修复此问题。
(CVE-2021-45046)

请注意,Nessus 尚未测试此问题,而是只依靠应用程序自我报告的版本号来判断。

解决方案

升级到 Splunk Enterprise 8.1.7.1、8.2.3.2、8.2.4 或更高版本。

另见

http://www.nessus.org/u?56494a5c

插件详情

严重性: Critical

ID: 158383

文件名: splunk_824.nasl

版本: 1.5

类型: remote

系列: CGI abuses

发布时间: 2022/2/25

最近更新时间: 2022/8/31

风险信息

VPR

风险因素: Critical

分数: 10

CVSS v2

风险因素: High

基本分数: 9.3

时间分数: 8.1

矢量: AV:N/AC:M/Au:N/C:C/I:C/A:C

时间矢量: E:H/RL:OF/RC:C

CVSS 分数来源: CVE-2021-44228

CVSS v3

风险因素: Critical

基本分数: 10

时间分数: 9.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

时间矢量: E:H/RL:O/RC:C

漏洞信息

CPE: cpe:/a:splunk:splunk

必需的 KB 项: installed_sw/Splunk

可利用: true

易利用性: Exploits are available

补丁发布日期: 2021/12/10

漏洞发布日期: 2021/12/10

CISA 已知利用日期: 2021/12/24

可利用的方式

CANVAS (CANVAS)

参考资料信息

CVE: CVE-2021-44228, CVE-2021-45046

IAVA: 2022-A-0093