奇安信CERT
致力于第一时间为企业级用户提供安全风险通告和有效解决方案。
安全通告
Splunk Enterprise是机器数据的引擎。使用Splunk可收集、索引和利用所有应用程序、服务器和设备生成的快速移动型计算机数据。关联并分析跨越多个系统的复杂事件。获取新层次的运营可见性以及IT和业务智能。
近日，奇安信CERT监测到Splunk Enterprise中存在远程代码执行漏洞(CVE--43571)。由于Splunk Enterprise 中 SimpleXML仪表板存在代码注入，经过身份验证的远程攻击者可构造特制的数据包，通过PDF导出操作触发任意代码执行。目前，此漏洞技术细节与POC已公开。鉴于此漏洞影响范围较大，建议客户尽快做好自查，及时更新至最新版本。
奇安信CERT已成功复现Splunk Enterprise远程代码执行漏洞(CVE--43571)，截图如下：
威胁评估
处置建议
目前Splunk官方已发布安全版本修复该漏洞，建议受影响用户尽快更新至对应的安全版本。
/en_us/product-security/announcements/svd--1111.html
产品解决方案
奇安信网站应用安全云防护系统已更新防护特征库
奇安信网神网站应用安全云防护系统已全面支持对Splunk Enterprise远程代码执行漏洞(CVE--43571)的防护。
奇安信天眼检测方案
奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击，请将规则版本升级到3.0.1222.13683或以上版本。规则ID及规则名称：0x10021416，Splunk Enterprise远程代码执行漏洞(CVE--43571)。奇安信天眼流量探针规则升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。
奇安信网神网络数据传感器系统产品检测方案
奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：7688，建议用户尽快升级检测规则库至2212221600以上。
参考资料
[1]/en_us/product-security/announcements/svd--1111.html
时间线
12月22日，奇安信 CERT发布安全风险通告。
点击阅读原文
到奇安信NOX-安全监测平台查询更多漏洞详情
如果觉得《Splunk Enterprise远程代码执行漏洞(CVE--43571)安全风险通告》对你有帮助，请点赞、收藏，并留下你的观点哦！
