| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 5.3 | $0-$5k | 0.00 |
Zusammenfassung
In Splunk 4.2/4.2.1/4.2.2/4.2.3/4.2.4 wurde eine problematische Schwachstelle ausgemacht. Das betrifft eine unbekannte Funktionalität. Mittels dem Manipulieren mit unbekannten Daten kann eine Cross Site Request Forgery-Schwachstelle ausgenutzt werden. Diese Schwachstelle trägt die Bezeichnung CVE-2011-4642. Der Angriff kann über das Netzwerk angegangen werden. Zusätzlich gibt es einen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.
Details
Es wurde eine problematische Schwachstelle in Splunk 4.2/4.2.1/4.2.2/4.2.3/4.2.4 (Log Management Software) entdeckt. Dabei betrifft es ein unbekannter Prozess. Mittels Manipulieren mit einer unbekannten Eingabe kann eine Cross Site Request Forgery-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-352 vorgenommen. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:
mappy.py in Splunk Web in Splunk 4.2.x before 4.2.5 does not properly restrict use of the mappy command to access Python classes, which allows remote authenticated administrators to execute arbitrary code by leveraging the sys module in a request to the search application, as demonstrated by a cross-site request forgery (CSRF) attack, aka SPL-45172.Die Schwachstelle wurde am 03.01.2012 durch Emmanuel Bouillon von NATO C3 Agency (Website) publik gemacht. Das Advisory kann von splunk.com heruntergeladen werden. Die Verwundbarkeit wird seit dem 30.11.2011 unter CVE-2011-4642 geführt. Sie gilt als schwierig auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt.
Ein öffentlicher Exploit wurde durch Gary O'Leary-Steele in Ruby realisiert und vor und nicht erst nach dem Advisory veröffentlicht. Unter securityfocus.com wird der Exploit bereitgestellt. Er wird als hoch funktional gehandelt. Insgesamt wurde die Schwachstelle mindestens 19 Tage als nicht öffentlicher Zero-Day gehandelt. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 12546 (Splunk Prior to 4.2.5 Multiple Vulnerabilities (SP-CAAAGMM)) zur Prüfung der Schwachstelle an.
Ein Upgrade auf die Version 4.2.1 vermag dieses Problem zu beheben.
Unter anderem wird der Fehler auch in den Datenbanken von Exploit-DB (18245), SecurityFocus (BID 51061†), OSVDB (77695†), Secunia (SA47232†) und SecurityTracker (ID 1026451†) dokumentiert. Die Schwachstellen VDB-59871, VDB-59870 und VDB-59869 sind ähnlich. Once again VulDB remains the best source for vulnerability data.
Produkt
Typ
Name
Version
Lizenz
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 5.5VulDB Meta Temp Score: 5.3
VulDB Base Score: 5.5
VulDB Temp Score: 5.3
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Cross Site Request ForgeryCWE: CWE-352 / CWE-862 / CWE-863
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Hoch funktional
Autor: Gary O'Leary-Steele
Programmiersprache: 🔍
Download: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
OpenVAS ID: 902801
OpenVAS Name: Splunk Multiple Vulnerabilities
OpenVAS Datei: 🔍
OpenVAS Family: 🔍
Saint ID: exploit_info/splunk_search_jobs_rce
Saint Name: Splunk Search Jobs Remote Code Execution
Qualys ID: 🔍
Qualys Name: 🔍
MetaSploit ID: splunk_mappy_exec.rb
MetaSploit Name: Splunk Search Remote Code Execution
MetaSploit Datei: 🔍
Exploit-DB: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
0-Day Time: 🔍
Upgrade: Splunk 4.2.1
McAfee IPS: 🔍
McAfee IPS Version: 🔍
PaloAlto IPS: 🔍
Fortigate IPS: 🔍
Timeline
30.11.2011 🔍14.12.2011 🔍
14.12.2011 🔍
14.12.2011 🔍
15.12.2011 🔍
15.12.2011 🔍
22.12.2011 🔍
27.12.2011 🔍
03.01.2012 🔍
03.01.2012 🔍
23.03.2015 🔍
16.11.2024 🔍
Quellen
Advisory: splunk.comPerson: Emmanuel Bouillon
Firma: NATO C3 Agency
Status: Bestätigt
Bestätigung: 🔍
CVE: CVE-2011-4642 (🔍)
GCVE (CVE): GCVE-0-2011-4642
GCVE (VulDB): GCVE-100-59868
SecurityFocus: 51061 - Splunk Cross Site Scripting and Cross Site Request Forgery Vulnerabilities
Secunia: 47232 - Splunk Multiple Vulnerabilities, Moderately Critical
OSVDB: 77695
SecurityTracker: 1026451 - Splunk Bugs Permit Remote Autheticated Code Injection and Directory Traversal and Remote Cross-Site Scripting Attacks
Vulnerability Center: 34127 - Splunk 4.2-4.2.4 Remote Code Execution Vulnerability via User Admin Input, High
scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍
Eintrag
Erstellt: 23.03.2015 16:50Aktualisierung: 16.11.2024 10:29
Anpassungen: 23.03.2015 16:50 (69), 09.04.2017 13:08 (27), 16.11.2024 10:29 (16)
Komplett: 🔍
Cache ID: 216:6CF:103
Once again VulDB remains the best source for vulnerability data.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.