【缝隙公告】Splunk远程代码执行缝隙(CVE-2025-20229)

颁布功夫 2025-03-27

一、缝隙概述


缝霞称

Splunk远程代码执行缝隙

CVE   ID

CVE-2025-20229

缝隙类型

远程代码执行

发现功夫

2025-03-27

缝隙评分

8.0

缝隙等级

高危

攻击向量

网络

所需权限

低

利用难度

低

用户交互

必要

PoC/EXP

未公开

在野利用

未发现


Splunk Enterprise是一款壮大的数据分析平台 ，专一于机械数据的网络、监控和分析 ，宽泛利用于日志治理、安全信息事务治理（SIEM）和IT运维 ，可能援手组织实时获取操作数据、检测异常、分析趋向 ，并提供可视化报表和警报职能。Splunk Cloud Platform是Splunk的云版本 ，提供与Enterprise一样的数据分析职能 ，但以SaaS大局运行 ，用户无需自行治理基础设施。它合用于必要高度可扩大性和矫捷性的企业 ，支持跨平台、跨环境的数据分析和治理 ，援手组织高效处置大数据 ，并实现深刻的智能洞察。


2025年3月27日 ，GA黄金甲集团VSRC监测到Splunk颁布的安全布告 ，布告指出Splunk Enterprise和Splunk Cloud Platform存在一个高危缝隙。在特定版本中 ，低权限用户（未持有"admin"或"power"角色）由于不足必要的授权查抄 ，可能通过将文件上传至“$SPLUNK_HOME/var/run/splunk/apptemp”目录 ，从而执行远程代码（RCE）。


二、影响领域


9.3.2408.100 <= Splunk Cloud Platform <= 9.3.2408.103
9.2.2406.100 <= Splunk Cloud Platform <= 9.2.2406.107
Splunk Cloud Platform < 9.2.2403.113
Splunk Cloud Platform < 9.1.2312.207
9.3.0 <= Splunk Enterprise <= 9.3.2
9.2.0 <= Splunk Enterprise 9.2.4
9.1.0 <= Splunk Enterprise 9.1.7


三、安全措施


3.1 升级版本


官方已颁布建复版本 ，建议受影响用户尽快更新。


Splunk Enterprise 9.4升级到9.4.0
Splunk Enterprise 9.3受影响版本升级到9.3.3
Splunk Enterprise 9.2受影响版本升级到9.2.5
Splunk Enterprise 9.1受影响版本升级到9.1.8
Splunk Cloud Platform 9.3.2408受影响版本升级到9.3.2408.104
Splunk Cloud Platform 9.2.2406受影响版本升级到9.2.2406.108
Splunk Cloud Platform 9.2.2403受影响版本升级到9.2.2403.114
Splunk Cloud Platform 9.1.2312受影响版本升级到9.1.2312.208


下载链接：https://www.splunk.com/en_us/download.html/


3.2 一时措施


暂无。


3.3 通用建议


? 定期更新系统补丁 ，削减系统缝隙 ，提升服务器的安全性。
? 加强系统和网络的接见节造 ，批改防火墙战术 ，关关非必要的利用端口或服务 ，削减将危险服务（如SSH、RDP等）露出到公网 ，削减攻击面。
? 使用企业级安全产品 ，提升企业的网络安全机能。
? 加强系统用户和权限治理 ，启用多成分认证机造和最幼权限准则 ，用户和软件权限应维持在最低限度。
? 启用强密码战术并设置为定期批改。


3.4 参考链接


https://advisory.splunk.com/advisories/SVD-2025-0301