Katalog podatności CVE

W wersjach Splunk AI Toolkit poniżej 6.0.1 użytkownik bez ról "admin" lub "power" może usunąć historię eksperymentów innego użytkownika bez uprawnień przez API REST. Podatność wynika z tego, że Splunk AI Toolkit usuwa historię eksperymentów przed weryfikacją uprawnień użytkownika do usunięcia powiązanego eksperymentu.

W Splunk AI Toolkit w wersjach poniżej 6.0.0 użytkownik z rolą "power" może uzyskać dostęp do historii eksperymentów i usuwać wszystkie istotne dane, w tym dane innych użytkowników. Podatność wynika z braku zachowania zaufanego zakresu eksperymentu podczas przetwarzania wartości zapytań kontrolowanych przez wywołującego.

W Splunk AI Toolkit w wersjach poniżej 6.0.0 użytkownik z rolą posiadającą uprawnienie schedule_search może spowodować, że zaplanowane wyszukiwanie załaduje i zdeserializuje plik modelu przez polecenie apply. Podatność wynika z braku oznaczenia polecenia apply jako ryzykownego.

W Splunk AI Toolkit w wersjach poniżej 6.0.0 użytkownik z rolą "power" może wykonać dowolny kod na serwerze Splunk, ładując plik modelu zawierający spreparowane dane rzadkiej macierzy. Podatność wynika z deserializacji niezaufanych danych bez zabezpieczeń przed osadzonym kodem pickle.

W Splunk AI Toolkit w wersjach poniżej 6.0.0 użytkownik z niskimi uprawnieniami, bez ról "admin" lub "power", może uruchamiać, zatrzymywać i konfigurować kontenery oraz odczytywać lub modyfikować dane połączeń i konfiguracji przez API REST. Podatność wynika z braku kontroli autoryzacji w wielu handlerach API REST.

W wersjach Splunk AI Toolkit poniżej 6.0.0 użytkownik, który może przesyłać modele, może nadpisać model przesyłany przez innego użytkownika, wysyłając równoczesne żądanie przesyłania dla tej samej nazwy modelu, co powoduje, że wpis wyszukiwania modelu odwołuje się do treści kontrolowanej przez atakującego. Podatność wynika z braku weryfikacji, czy przesłana treść należy do żądania tworzącego wpis.

W wersjach Splunk AI Toolkit poniżej 6.0.0 użytkownik bez ról "admin" lub "power" może uzyskać przewidywalne lub domyślne poświadczenia dla połączonych usług kontenerowych. Podatność wynika z generowania lub przechowywania poświadczeń przy użyciu przewidywalnych lub zakodowanych na stałe wartości domyślnych.

W Splunk AI Toolkit w wersjach poniżej 6.0.0 użytkownik bez ról "admin" lub "power" może uruchamiać wyszukiwania z uprawnieniami systemowymi, uzyskać dostęp do wszystkich istotnych danych, wpłynąć na integralność systemu oraz odczytywać lub usuwać zadania wyszukiwania innych użytkowników przez Agent Run History. Podatność wynika z zastąpienia klucza sesji użytkownika tokenem uwierzytelniającym systemu przed wykonaniem operacji wyszukiwania.

W wersjach Cisco Talos Intelligence for Enterprise Security Cloud poniżej 1.0.3 nieuwierzytelniony użytkownik może uzyskać dostęp do specyfikacji OpenAPI dodatku przez statyczne ścieżki plików Splunk Web. Ujawniona specyfikacja może umożliwić rozpoznanie punktów końcowych API REST dodatku i modelu uwierzytelniania.

W Cisco Talos Intelligence for Enterprise Security Cloud w wersjach poniżej 1.0.3 użytkownik z uprawnieniem get_talos_enrichment może wysłać spreparowane żądanie do endpointu REST wzbogacania Talos, powodując wysłanie żądania wychodzącego do serwera kontrolowanego przez atakującego. Może to ujawnić tokeny, które naruszają wszystkie istotne dane i integralność systemu w instancji Splunk.

W Splunk Enterprise Security w wersjach poniżej 8.6.1 użytkownik z rolą ess_analyst może zmieniać makra wyszukiwań UEBA, które są uruchamiane przez zaplanowane wyszukiwania z uprawnieniami administratora, co umożliwia dostęp do wszystkich istotnych danych i naruszenie integralności systemu. Podatność wynika z nadania analitykom prawa zapisu do makr, które powinny być zapisywalne tylko przez administratorów.

W Splunk Enterprise Security w wersjach poniżej 8.6.1 użytkownik z rolą zawierającą uprawnienie mc_investigation_read może wstrzyknąć język SPL przez filtry wyszukiwania Analyst Queue, co umożliwia dostęp do wszystkich istotnych danych i naruszenie integralności systemu w zakresie zaplanowanych wyszukiwań uruchamianych dla tego użytkownika. Podatność wynika z braku walidacji nazw pól filtrów przed ich użyciem w wyszukiwaniach SPL.

W wersjach poniżej 3.2.2 aplikacji Zoom dla Splunk SOAR użytkownik z uprawnieniami do uruchamiania akcji może ujawnić hasła do spotkań i osobistych identyfikatorów spotkań, wywołując akcje tworzenia spotkania, aktualizacji spotkania lub aktualizacji ustawień użytkownika, ponieważ parametry password i pmi_password nie są maskowane i są wyświetlane w postaci jawnej w interfejsie użytkownika.

W wersjach poniżej 2.1.4 aplikacji Venafi dla Splunk SOAR użytkownik z uprawnieniami do uruchamiania akcji może ujawnić hasła do magazynów kluczy i kluczy prywatnych, wywołując akcję get certificate, ponieważ parametry keystore_password i password nie są maskowane i są wyświetlane w postaci jawnej w interfejsie użytkownika.

W wersjach poniżej 2.2.1 łącznika Splunk Attack Analyzer dla Splunk SOAR użytkownik z uprawnieniami do uruchamiania akcji może ujawnić wrażliwe hasło archiwum, wywołując akcję detonate file lub detonate url, ponieważ parametr archive_password nie jest maskowany i jest wyświetlany w postaci jawnej w interfejsie użytkownika.

W wersjach poniżej 1.0.5 aplikacji RSA SecurID Authentication Manager dla Splunk SOAR użytkownik z uprawnieniami do uruchamiania akcji może ujawnić wrażliwy numer seryjny tokena, wywołując akcję enable token lub revoke token, ponieważ parametr token_serial nie jest maskowany i jest wyświetlany w postaci jawnej w interfejsie użytkownika.

W wersjach poniżej 3.8.5 aplikacji Phantom dla Splunk SOAR użytkownik z uprawnieniami do uruchamiania akcji może ujawnić wrażliwe hasło archiwum, wywołując akcję deflate item, ponieważ parametr password nie jest maskowany i jest wyświetlany w postaci jawnej w interfejsie użytkownika.

W wersjach poniżej 1.5.2 aplikacji MS Graph for Active Directory dla Splunk SOAR, użytkownik z uprawnieniami do uruchamiania akcji może ujawnić wrażliwe hasło, wywołując akcję resetowania hasła, ponieważ parametr temp_password nie jest maskowany i jest wyświetlany w postaci jawnego tekstu w interfejsie użytkownika. Ujawnienie informacji jest możliwe, ponieważ aplikacja nie oznacza tego parametru jako hasła.

W wersjach poniżej 5.1.3 aplikacji CrowdStrike OAuth API dla Splunk SOAR, użytkownik z uprawnieniami do uruchamiania akcji może ujawnić wrażliwe hasło dokumentu, wywołując akcję detonate file lub detonate url, ponieważ parametr document_password nie jest maskowany i jest wyświetlany w postaci jawnego tekstu w interfejsie użytkownika. Ujawnienie informacji jest możliwe, ponieważ aplikacja nie oznacza tego parametru jako hasła.

W wersjach poniżej 2.2.1 aplikacji Cisco Webex dla Splunk SOAR, użytkownik z uprawnieniami do uruchamiania akcji może ujawnić wrażliwe hasło spotkania, wywołując akcję schedule meeting, ponieważ parametr password nie jest maskowany i jest wyświetlany w postaci jawnego tekstu w interfejsie użytkownika. Ujawnienie informacji jest możliwe, ponieważ aplikacja nie oznacza tego parametru jako hasła.