Katalog podatności CVE

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, nieuwierzytelniony użytkownik mający dostęp do zaufanego prywatnego klucza wyszukiwania rozproszonego może sfałszować administracyjny token sesji, uzyskać dostęp do wszystkich istotnych danych, wpłynąć na integralność systemu i zakłócić dostępność usług. Podatność wynika z tego, że punkt końcowy tokena uwierzytelniania wyszukiwania rozproszonego nie wymaga podpisanego żądania do identyfikacji skonfigurowanego peera wyszukiwania, co pozwala żądaniu na użycie wspólnego lokalnego materiału klucza.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, nieuwierzytelniony użytkownik może odczytać pliki JavaScript poza katalogiem statycznym Splunk Web. Podatność wynika z braku ograniczenia żądań plików statycznych do skonfigurowanego katalogu.

W wersjach Splunk Enterprise poniżej 10.4.2 i 10.2.6 użytkownik bez ról admin lub power może usunąć wszystkie moduły SPL2 w całej instancji przez API REST. Może to usunąć wyeksportowane zbiory danych i funkcje, naruszając integralność systemu i powodując częściowe zakłócenia usług.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 uwierzytelniony użytkownik bez uprawnienia edit_manager_xml może zapisać złośliwą konfigurację XML Menedżera Splunk Web. Po otwarciu strony przez tego użytkownika Splunk wykonuje polecenia systemowe kontrolowane przez atakującego.

Użytkownik z rolą "power" w Splunk Enterprise może zapisać akcję przepływu pracy w Dashboard Studio zawierającą kontrolowany przez atakującego język SPL. Gdy inny uwierzytelniony użytkownik wybierze tę akcję, Splunk uruchomi wstrzyknięty SPL z uprawnieniami tego użytkownika, co może pozwolić na dostęp lub modyfikację danych. Podatność wynika z niedostatecznej walidacji adresów URL akcji przepływu pracy w Dashboard Studio.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z rolą power może zapisać akcję workflow Dashboard Studio z spreparowanym URL. Gdy inny uwierzytelniony użytkownik wybierze tę akcję, w jego przeglądarce wykonywany jest złośliwy JavaScript.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik może nakłonić uwierzytelnionego użytkownika do otwarcia spreparowanego linku do Analytics Workspace. Po otwarciu Splunk wykonuje SPL kontrolowane przez atakującego z uprawnieniami ofiary.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról admin lub power może wstrzyknąć SPL do żądań uruchamiania zapisanych wyszukiwań. Może to umożliwić nieautoryzowany dostęp do danych i naruszyć integralność systemu.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik może nakłonić uwierzytelnionego użytkownika do otwarcia spreparowanego linku do Monitoring Console. Po otwarciu Splunk wykonuje SPL kontrolowane przez atakującego z uprawnieniami ofiary.

Nieuwierzytelniony atakujący może nakłonić użytkownika z rolą "admin" do otwarcia spreparowanego linku do Monitoring Console. Po otwarciu linku Splunk Enterprise uruchamia kontrolowany przez atakującego język SPL z uprawnieniami tego użytkownika, co może ujawnić dane lub zmodyfikować dane wyszukiwania. Podatność wynika z niedostatecznej walidacji danych używanych do budowania wyszukiwań w pulpitach Monitoring Console.

Użytkownik z rolą "power" może zapisać kontrolowany przez atakującego język SPL w pulpicie. Gdy inny uwierzytelniony użytkownik eksportuje pulpit do pliku PDF, Splunk Enterprise uruchamia wstrzyknięty SPL z uprawnieniami tego użytkownika, co może pozwolić na dostęp lub modyfikację danych. Podatność wynika z niedostatecznej walidacji zawartości pulpitu przed przetworzeniem eksportu PDF.

Nieuwierzytelniony atakujący może nakłonić użytkownika z rolą "admin" lub "sc_admin" do otwarcia spreparowanego adresu URL Splunk Web. Wynikające z tego wyszukiwania w pulpitach mogą uruchamiać dowolne polecenia SPL z uprawnieniami ofiary, co może ujawnić dane i wpłynąć na wyniki wyszukiwania lub dane wyszukiwania. Podatność wynika z nieprawidłowej neutralizacji wartości dostarczanych przez wywołującego w pulpitach Splunk Secure Gateway.

Użytkownik bez ról "admin" lub "power" może zapisać widok pulpitu, który uruchamia JavaScript w przeglądarce innego użytkownika, gdy ten otworzy pulpit i najedzie kursorem na komórkę tabeli sparkline. Może to pozwolić na dostęp do wszystkich istotnych danych i naruszenie integralności systemu. Podatność wynika z niedostatecznego ograniczenia opcji tooltipów i braku escapowania zawartości tooltipów przed wyświetleniem.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z rolą power może zapisać złośliwy obiekt ui-tour pasujący do nazwy strony auto-tour i udostępnić go na poziomie aplikacji. Obiekt może wykonać dowolny JavaScript w przeglądarce innego uwierzytelnionego użytkownika.

Użytkownik z rolą "power" może utworzyć złośliwą wycieczkę Splunk Web i spowodować wykonanie dowolnego JavaScript w przeglądarce innego użytkownika, gdy ten otworzy spreparowany link do wycieczki. JavaScript wykonuje się w przeglądarce ofiary, umożliwiając dostęp do wszystkich istotnych danych. Podatność XSS wynika z niedostatecznego kodowania wyjściowego treści wycieczki i linków nawigacyjnych oraz akceptowania wartości selektora wycieczki, która może być traktowana jako znaczniki.

Użytkownik bez ról "admin" lub "power" może ominąć zabezpieczenia SPL dla ryzykownych poleceń przez pulpit Job Details. Wstrzyknięty SPL może zostać uruchomiony z uprawnieniami uwierzytelnionego użytkownika, który otworzy spreparowany link do pulpitu Job Details. Może to pozwolić na dostęp do wszystkich istotnych danych i wpłynąć na integralność systemu. Podatność wynika z nieprawidłowej neutralizacji identyfikatora wyszukiwania dostarczonego przez wywołującego przed umieszczeniem go w wyszukiwaniach SPL.

Użytkownik z rolą "user" może stworzyć pulpit Dashboard Studio, który uruchamia kontrolowany przez atakującego język SPL dla innego uwierzytelnionego użytkownika. Kontrolowany SPL może uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z niespójnego egzekwowania granicy autoryzacji widoczności aplikacji przed dotarciem opcji zapytań pulpitu do wysyłki wyszukiwania.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik może wstrzyknąć dowolny SPL do żądań wyszukiwania zdarzeń w pobliżu wybranego zdarzenia. Może to umożliwić nieautoryzowane wykonywanie wyszukiwań.

Nieuwierzytelniony atakujący może spowodować, że uwierzytelniony użytkownik wykona dowolne wyszukiwania SPL w jego imieniu przez Event Type Builder. Może to ujawnić wszystkie istotne dane i przechowywane poświadczenia. Podatność występuje, gdy Event Type Builder akceptuje dane wejściowe z żądań między witrynami i zachowuje wartości wpływające na SPL podczas budowania przykładowych wyszukiwań zdarzeń.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z niskimi uprawnieniami bez uprawnienia fsh_manage może wykonać zdalny kod przez wybór pakietu Federated Search. Może to umożliwić dostęp do danych i naruszyć integralność oraz dostępność systemu.