CVE-2023-40598

W Splunk Enterprise w wersjach poniżej 10.4.1, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik, który może odczytać źródło HTML strony osadzającej raport Splunk, może wykorzystać ujawnione materiały sesji do uzyskania dostępu do wszystkich istotnych danych i wpłynąć na integralność systemu. Podatność wynika z nieprawidłowego egzekwowania granic autoryzacji dla osadzonych raportów w ścieżce pobierania archiwum dispatch oraz z uwzględniania wrażliwych materiałów sesji w zarchiwizowanych danych zadań wyszukiwania.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik posiadający token osadzonego raportu może pobrać archiwum dispatch dla zadania wyszukiwania osadzonego raportu i wykorzystać ujawnione materiały sesji do uzyskania dostępu do wszystkich istotnych danych oraz wpłynąć na integralność systemu na instancji Splunk. Podatność wynika z tego, że przepływ autoryzacji osadzonych raportów nie blokuje żądań pobrania archiwum dispatch przed rozpoczęciem wysyłania archiwum do żądającego.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik posiadający token osadzonego raportu może pobrać powiązane archiwum dispatch zadania wyszukiwania, odzyskać materiały sesji i użyć ich do uzyskania dostępu do wszystkich istotnych danych dostępnych właścicielowi raportu oraz wpłynąć na integralność systemu, w tym wykonywać działania administracyjne, gdy właściciel ma rolę "admin" Splunk. Podatność wynika z tego, że dostęp do osadzonych raportów nie blokuje żądań pobrania archiwum dispatch przez API REST.

W wersjach Splunk Enterprise 10.4 poniżej 10.4.2, nieuwierzytelniony użytkownik może pobrać informacje zawarte w konfiguracjach potoków Edge Processor przez punkt końcowy API REST, gdy Edge Processor jest włączony. Podatność nie dotyczy wersji wcześniejszych niż 10.4. Podatność istnieje, ponieważ punkt końcowy usługi Edge Processor nie ma kontroli uwierzytelniania.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik bez ról "admin" lub "power" może wpłynąć na integralność i dostępność systemu, wysyłając spreparowane żądanie REST API, które usuwa lub tymczasowo nadpisuje pliki zapisywalne przez konto użytkownika uruchamiające procesy Splunk Enterprise na nie-kapitanie członka klastra search head. Podatność wynika z tego, że replikacja pakietów Search Head Clustering nie weryfikuje nazwy replikowanego pliku pakietu ani nie neutralizuje bajtów NUL przed skonstruowaniem ścieżki pakietu członka.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik, który nie posiada ról "admin" lub "power", może przesłać spreparowaną deltę pakietu wiedzy, aby usunąć dowolne pliki dostępne dla Splunk Enterprise na menedżerze klastra. Podatność wynika z braku ograniczenia ścieżek usuwania do katalogu tymczasowego oraz braku egzekwowania oczekiwanej granicy autoryzacji.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik bez ról "admin" lub "power" może utworzyć lub zmodyfikować skryptowy lookup przez ogólne punkty końcowe konfiguracji i uruchomić zainstalowany skrypt lookup z uprawnieniami konta użytkownika uruchamiającego Splunk Enterprise, co może umożliwić dostęp do wszystkich istotnych danych i wpłynąć na integralność i dostępność systemu. Podatność wynika z tego, że ogólne punkty końcowe konfiguracji transformacji nie egzekwują wymaganych uprawnień do tworzenia lub edycji zewnętrznych definicji lookup.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik posiadający rolę z uprawnieniem schedule_search może skonfigurować załączniki PDF w przepływie pracy akcji alertu e-mail. Gdy akcja alertu e-mail zostanie uruchomiona, może wykonać dowolne polecenia SPL z uprawnieniami na poziomie systemu, ujawnić wszystkie istotne dane oraz wpłynąć na integralność i dostępność systemu na search head. Podatność wynika z tego, że harmonogram wyszukiwania przekazuje kontekst uwierzytelniania na poziomie systemu, a nie kontekst właściciela akcji, do akcji alertu e-mail podczas renderowania załączników PDF.

W wersjach Splunk Enterprise poniżej 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik może nakłonić uwierzytelnionego użytkownika do wykonania dowolnych poleceń SPL z jego uprawnieniami poprzez spreparowany link w Splunk Web. Podatność wynika z podstawiania wartości tokenów z URL do wyszukiwań SPL bez ich neutralizacji. Atak wymaga phishingu użytkownika.