Podatności Splunk Enterprise

W Splunk Enterprise dla Windows w wersjach poniżej 10.4.2, 10.2.6, 10.0.9, 9.4.13 i 9.3.14 lokalny użytkownik z dostępem do hosta Windows może związać się z portem zarządzania przed uruchomieniem Splunk Enterprise, przechwycić tokeny uwierzytelniające z procesów potomnych i użyć tych tokenów do naruszenia wszystkich istotnych danych i integralności systemu dostępnych dla konta użytkownika uruchamiającego Splunk Enterprise. Podatność jest możliwa, ponieważ nasłuch na porcie zarządzania Windows nie stosuje ochrony wyłącznego wiązania adresów przed uruchomieniem usługi.

W Splunk Enterprise poniżej 10.4.1, 10.2.6, 10.0.8 i 9.4.13 użytkownik bez ról 'admin' lub 'power' może nakłonić innego użytkownika do uruchomienia dowolnych poleceń SPL przez Edytor Modeli Danych, wykorzystując uprawnienia ofiary. Podatność wynika z braku zabezpieczeń SPL dla ryzykownych poleceń podczas uruchamiania wyszukiwania bazowego dla pól automatycznie wyodrębnianych. Atak wymaga phishingu ofiary.

W Splunk Enterprise przed wersjami 10.4.2, 10.2.6, 10.0.9, 9.4.14 i 9.3.14 nieuwierzytelniony użytkownik może nakłonić innego użytkownika do uruchomienia dowolnych potoków SPL z poziomu Dataset Explorer z uprawnieniami tego użytkownika. Dzieje się tak, ponieważ Dataset Explorer nie waliduje ani nie escapuje nazw zbiorów danych przed budowaniem zapytań SPL i nie stosuje zabezpieczeń SPL dla ryzykownych poleceń. Atak wymaga phishingu, aby ofiara otworzyła spreparowany link.

W Splunk Enterprise przed wersjami 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z uprawnieniem schedule_search może uruchamiać dowolne polecenia SPL z najwyższymi uprawnieniami systemowymi i odczytać wszystkie poświadczenia z magazynu poświadczeń. Dzieje się tak, ponieważ konfiguracja akcji alertów dla zaplanowanych wyszukiwań nie ogranicza odpowiednio ustawień akcji alertów specyficznych dla użytkownika przed uruchomieniem akcji przez scheduler.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.13 nieuwierzytelniony użytkownik, który nakłoni ofiarę do odwiedzenia złośliwej strony, może uruchomić nieautoryzowany JavaScript w przeglądarce ofiary. Podatność XSS wynika z braku walidacji pochodzenia i źródła wiadomości otrzymywanych przez handler wiadomości strony. Atak wymaga phishingu ofiary.

W Splunk Enterprise przed wersjami 10.4.2, 10.2.6 i 10.0.9 użytkownik bez ról admin lub power może spowodować, że Splunk App for Splunk Observability Cloud będzie przekazywać żądania do Splunk Observability Cloud, w tym token dostępu przechowywany dla aplikacji. Dzieje się tak, ponieważ handlery endpointów REST aplikacji nie egzekwują uprawnienia read_o11y_content przed przekazaniem żądań z tokenem. Podatność nie dotyczy wersji 9.4 i 9.3.

W wersjach Splunk Enterprise poniżej 8.2.12, 9.0.6 i 9.1.1, atakujący może stworzyć zewnętrzne wyszukiwanie, które wywołuje przestarzałą funkcję wewnętrzną. Dzięki temu atakujący może wprowadzić kod do katalogu instalacyjnego platformy Splunk.

W wersjach Splunk Enterprise poniżej 8.2.12, 9.0.6 i 9.1.1, atakujący może wykorzystać podatność na przejście przez absolutną ścieżkę, aby wykonać dowolny kod znajdujący się na oddzielnym dysku.

W wersjach Splunk Enterprise wcześniejszych niż 8.2.12, 9.0.6 i 9.1.1, dynamiczna biblioteka linków (DLL) odnosi się do niebezpiecznej ścieżki w definicji budowy OPENSSLDIR. Atakujący może wykorzystać to odniesienie do zainstalowania złośliwego kodu, co prowadzi do eskalacji uprawnień na maszynie z systemem Windows.

W wersjach Splunk Enterprise poniżej 8.2.12, 9.0.6 i 9.1.1, atakujący może wykonać specjalnie przygotowane zapytanie, które pozwala na serializację nieufnych danych. To umożliwia atakującemu wykonanie dowolnego kodu.

W wersjach Splunk Enterprise poniżej 8.2.12, 9.0.6 i 9.1.1, atakujący może wykorzystać funkcję SPL `printf` do przeprowadzenia ataku typu denial of service (DoS) na instancję Splunk Enterprise.

W wersjach Splunk Enterprise poniżej 9.0.6 i 8.2.12, złośliwy aktor może wysłać źle sformułowane żądanie SAML do punktu końcowego REST `/saml/acs`, co może prowadzić do odmowy usługi poprzez awarię lub zawieszenie demona Splunk.

W wersjach Splunk Enterprise poniżej 9.1.1, 9.0.6 i 8.2.12, atakujący może stworzyć specjalne żądanie webowe, które może prowadzić do odzwierciedlonego ataku XSS na punkcie końcowym „/app/search/table”. Wykorzystanie tej podatności może prowadzić do wykonania dowolnych poleceń na instancji platformy Splunk.