CVE-2023-32712

Splunk Enterprise 9.1.0.2, 9.0.5.1 ve 8.2.11.2 altındaki sürümlerde bir saldırgan, Splunk günlük dosyalarına American National Standards Institute (ANSI) kaçış kodları enjekte edebilir; bu kodlar savunmasız bir terminal uygulaması tarafından okunduğunda, en kötü durumda söz konusu uygulama üzerinde potansiyel olarak kod çalıştırılmasıyla sonuçlanabilir. Bu saldırı, kullanıcının kötü amaçlı günlük dosyasını yerel olarak okumak için ANSI kaçış kodlarının çevirisini destekleyen bir terminal uygulaması kullanmasını ve istismar için ek kullanıcı etkileşimi gerçekleştirmesini gerektirir. Universal Forwarder 9.1.0.1, 9.0.5, 8.2.11 ve daha düşük sürümleri, yönetim servislerinin aktif olduğu ve ağ üzerinden erişilebilir olduğu durumlarda savunmasız olabilir. Universal Forwarder 9.0.x ve 9.1.x sürümleri, yönetim servislerini yerel makineye bağlar ve bu özel yapılandırmada savunmasız değildir. Daha fazla bilgi için SVD-2022-0605'e bakınız. Universal Forwarder 9.1 sürümleri iletişim için Unix Domain Sockets (UDS) kullanır, bu da potansiyel saldırı yüzeyini daha da azaltır. Zafiyet, Splunk Enterprise veya Universal Forwarder'ı doğrudan etkilemez. Splunk Enterprise ve Universal Forwarder üzerindeki dolaylı etki, savunmasız terminal uygulamasındaki izinlere ve kullanıcının kötü amaçlı günlük dosyasını nerede ve nasıl okuduğuna bağlı olarak önemli ölçüde değişebilir. Örneğin, kullanıcılar kötü amaçlı dosyayı Splunk Enterprise örneğinden kopyalayabilir ve kendi yerel makinelerinde okuyabilirler.