Katalog podatności CVE

Użytkownik z rolą posiadającą uprawnienie schedule_search może zapisać złośliwy skrypt w polu warunku wyzwalania alertu. Gdy inny użytkownik otworzy spreparowany link, skrypt wykonuje się w przeglądarce tego użytkownika i może uzyskać dostęp do wszystkich danych dostępnych temu użytkownikowi. Podatność wynika z używania wartości progu alertu w generowanym znaczniku warunku wyzwalania alertu bez escapowania znaków specjalnych.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról admin lub power może przenieść pliki, które konto Splunk może odczytać, do lookupu kontrolowanego przez użytkownika. Może to umożliwić dostęp do danych i naruszyć integralność oraz dostępność systemu.

W Splunk Enterprise w wersjach poniżej 10.4.1, 10.2.5, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik, który ma dostęp do portu zarządzania Splunk, może zapisać potok SPL, który wykona się, gdy administrator otworzy przepływ pracy Add Data forwarder. Potok SPL może uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność instancji Splunk. Wstrzyknięcie SPL jest możliwe, ponieważ identyfikatory klientów Deployment Server są umieszczane w wysyłanych wyszukiwaniach bez neutralizowania znaków specjalnych.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról "admin" lub "power" może wykonać dowolny kod na instancji Splunk przez Splunk Web Manager Configuration. Użytkownik może następnie uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z tego, że Splunk Web Manager Configuration ocenia wartości konfiguracji menedżera, a ścieżka REST API dla konfiguracji menedżera nie wymaga uprawnień, które normalnie kontrolują zapisy konfiguracji menedżera.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról "admin" lub "power" może wykonać zdalne wykonanie kodu (RCE) poprzez przesłanie spreparowanej zawartości Splunk Web Manager Configuration. Użytkownik może następnie uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z tego, że Splunk Web ocenia wyrażenia XML menedżera bez wystarczających ograniczeń wejściowych, a powiązana trasa konfiguracji nie wymaga uprawnień oczekiwanych dla zmian konfiguracji menedżera.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról "admin" lub "power" może wykonać zdalne wykonanie kodu (RCE) poprzez przesłanie złośliwego pakietu wiedzy i spowodowanie jego użycia przez wyszukiwanie rozproszone, co może umożliwić dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z tego, że punkt końcowy REST API do przesyłania pakietów wiedzy nie wymaga uprawnienia edit_dist_peer, a wyszukiwanie rozproszone akceptuje wybory pakietów wiedzy od użytkowników bez tego uprawnienia.

W Splunk Enterprise w wersjach poniżej 10.4.1, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik, który może odczytać źródło HTML strony osadzającej raport Splunk, może wykorzystać ujawnione materiały sesji do uzyskania dostępu do wszystkich istotnych danych i wpłynąć na integralność systemu. Podatność wynika z nieprawidłowego egzekwowania granic autoryzacji dla osadzonych raportów w ścieżce pobierania archiwum dispatch oraz z uwzględniania wrażliwych materiałów sesji w zarchiwizowanych danych zadań wyszukiwania.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik posiadający token osadzonego raportu może pobrać archiwum dispatch dla zadania wyszukiwania osadzonego raportu i wykorzystać ujawnione materiały sesji do uzyskania dostępu do wszystkich istotnych danych oraz wpłynąć na integralność systemu na instancji Splunk. Podatność wynika z tego, że przepływ autoryzacji osadzonych raportów nie blokuje żądań pobrania archiwum dispatch przed rozpoczęciem wysyłania archiwum do żądającego.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik posiadający token osadzonego raportu może pobrać powiązane archiwum dispatch zadania wyszukiwania, odzyskać materiały sesji i użyć ich do uzyskania dostępu do wszystkich istotnych danych dostępnych właścicielowi raportu oraz wpłynąć na integralność systemu, w tym wykonywać działania administracyjne, gdy właściciel ma rolę "admin" Splunk. Podatność wynika z tego, że dostęp do osadzonych raportów nie blokuje żądań pobrania archiwum dispatch przez API REST.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z niskimi uprawnieniami, bez ról 'admin' lub 'power', może wstrzyknąć kod SQL przez API REST. Dzieje się tak, ponieważ API REST nie neutralizuje odpowiednio wartości filtrów dostarczanych przez użytkownika, co pozwala na wykonanie atakującego tekstu jako części zapytania do bazy danych.

W wersjach Splunk Enterprise poniżej 10.4.2 i 10.2.6 użytkownik bez ról 'admin' lub 'power' może usuwać moduły SPL2 należące do innych użytkowników przez interfejs orchestratora zarządzania danymi. Podatność wynika z braku weryfikacji własności zasobów przed ich usunięciem (uszkodzona autoryzacja na poziomie obiektu).

W Splunk Enterprise 10.4 w wersjach poniżej 10.4.2 nieuwierzytelniony użytkownik może odczytać metryki usługi Prometheus z sidecar SPL2 Preview Edge Processor, w tym szczegóły usługi ujawniające istotne metadane środowiska uruchomieniowego i kompilacji dla sidecar. Podatność nie dotyczy wersji Splunk Enterprise poniżej 10.4. Ujawnienie informacji jest możliwe, ponieważ punkt końcowy metryk Prometheus w sidecar SPL2 Preview Edge Processor nie wymaga uwierzytelnienia, co pozwala każdemu klientowi, który może dotrzeć do sidecar, pobrać metryki bez poświadczeń.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 oraz Splunk Secure Gateway poniżej 3.10.9, 3.9.23 i 3.8.70 użytkownik bez ról 'admin' lub 'power' może odczytać prywatne klucze Spacebridge przez API REST Key Value Store. Podatność występuje na instancjach zaktualizowanych ze starszych wersji, gdy migracja kluczy prywatnych jest niekompletna, pozostawiając klucze w kolekcji z niebezpieczną domyślną listą kontroli dostępu.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z uprawnieniem rest_properties_get może odczytać zaszyfrowane poświadczenia przez API REST. Podatność wynika z błędnego przypisania uprawnień: endpoint właściwości wymaga uprawnienia rest_properties_get zamiast list_storage_passwords do odczytu poświadczeń.

W Splunk Enterprise dla Windows w wersjach poniżej 10.4.2, 10.2.6, 10.0.9, 9.4.13 i 9.3.14 lokalny użytkownik z dostępem do hosta Windows może związać się z portem zarządzania przed uruchomieniem Splunk Enterprise, przechwycić tokeny uwierzytelniające z procesów potomnych i użyć tych tokenów do naruszenia wszystkich istotnych danych i integralności systemu dostępnych dla konta użytkownika uruchamiającego Splunk Enterprise. Podatność jest możliwa, ponieważ nasłuch na porcie zarządzania Windows nie stosuje ochrony wyłącznego wiązania adresów przed uruchomieniem usługi.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 oraz Splunk Secure Gateway poniżej 3.10.10, 3.9.24 i 3.8.71 użytkownik bez ról 'admin' lub 'power' może zarejestrować dowolną aplikację towarzyszącą i spowodować przekazywanie żądań użytkowników mobilnych, w tym tokenów, na adres URL kontrolowany przez atakującego. Podatność wynika z twardo zakodowanego klucza kryptograficznego w handlerze rejestracji aplikacji towarzyszących, co pozwala na rejestrację dowolnego adresu zwrotnego bez ograniczeń.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 oraz Splunk Secure Gateway poniżej 3.10.10, 3.9.24 i 3.8.71 użytkownik z uprawnieniami do listowania haseł, ale bez uprawnień administracyjnych Splunk Secure Gateway, może uzyskać dostęp do sekretów podpisywania MDM, co zagraża zaufaniu do rejestracji urządzeń mobilnych. Podatność wynika z braku wymagania uprawnień administracyjnych Splunk Secure Gateway w endpointach REST dla pakietów wdrożeniowych, konfiguracji SAML i aplikacji towarzyszących.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 oraz Splunk Secure Gateway poniżej 3.10.9, 3.9.23 i 3.8.70 użytkownik bez ról 'admin' lub 'power' może odczytać wrażliwe informacje o konfiguracji SAML i ustawieniach instancji przez endpointy REST Splunk Secure Gateway. Podatność wynika z braku egzekwowania wymagań autoryzacji w tych endpointach przed zwróceniem informacji konfiguracyjnych.

W Splunk Enterprise poniżej 10.4.1, 10.2.6, 10.0.8 i 9.4.13 użytkownik bez ról 'admin' lub 'power' może nakłonić innego użytkownika do uruchomienia dowolnych poleceń SPL przez Edytor Modeli Danych, wykorzystując uprawnienia ofiary. Podatność wynika z braku zabezpieczeń SPL dla ryzykownych poleceń podczas uruchamiania wyszukiwania bazowego dla pól automatycznie wyodrębnianych. Atak wymaga phishingu ofiary.

W Splunk Enterprise przed wersjami 10.4.2, 10.2.6, 10.0.9, 9.4.14 i 9.3.14 nieuwierzytelniony użytkownik może nakłonić innego użytkownika do uruchomienia dowolnych potoków SPL z poziomu Dataset Explorer z uprawnieniami tego użytkownika. Dzieje się tak, ponieważ Dataset Explorer nie waliduje ani nie escapuje nazw zbiorów danych przed budowaniem zapytań SPL i nie stosuje zabezpieczeń SPL dla ryzykownych poleceń. Atak wymaga phishingu, aby ofiara otworzyła spreparowany link.