Katalog podatności CVE

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik bez ról "admin" lub "power" może utworzyć lub zmodyfikować skryptowy lookup przez ogólne punkty końcowe konfiguracji i uruchomić zainstalowany skrypt lookup z uprawnieniami konta użytkownika uruchamiającego Splunk Enterprise, co może umożliwić dostęp do wszystkich istotnych danych i wpłynąć na integralność i dostępność systemu. Podatność wynika z tego, że ogólne punkty końcowe konfiguracji transformacji nie egzekwują wymaganych uprawnień do tworzenia lub edycji zewnętrznych definicji lookup.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 oraz Splunk Secure Gateway poniżej 3.10.9, 3.9.23 i 3.8.70, użytkownik bez ról "admin" lub "power" może użyć spreparowanych danych powiadomień raportów, aby spowodować, że Splunk Secure Gateway wyśle żądanie do API REST Splunk Enterprise przy użyciu tokena sesji na poziomie systemu i zmodyfikować konfigurację platformy Splunk. Użytkownik może następnie uzyskać token sesji bez hasła i użyć go do uzyskania dostępu do wszystkich istotnych danych oraz wpłynąć na integralność systemu. Podatność wynika z tego, że Splunk Secure Gateway nie weryfikuje zdekodowanych identyfikatorów powiadomień raportów przed użyciem ich do konstruowania żądań do API REST Splunk Enterprise.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik posiadający rolę z uprawnieniem schedule_search może skonfigurować załączniki PDF w przepływie pracy akcji alertu e-mail. Gdy akcja alertu e-mail zostanie uruchomiona, może wykonać dowolne polecenia SPL z uprawnieniami na poziomie systemu, ujawnić wszystkie istotne dane oraz wpłynąć na integralność i dostępność systemu na search head. Podatność wynika z tego, że harmonogram wyszukiwania przekazuje kontekst uwierzytelniania na poziomie systemu, a nie kontekst właściciela akcji, do akcji alertu e-mail podczas renderowania załączników PDF.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik bez ról "admin" lub "power" może zapisać metadane dispatch do dowolnej lokalizacji na hoście, dostarczając spreparowany identyfikator wyszukiwania do punktu końcowego API REST i wpłynąć na integralność systemu na hoście. Podatność wynika z tego, że Splunk Enterprise nie weryfikuje identyfikatora wyszukiwania przed użyciem go do utworzenia katalogu dispatch.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, nieuwierzytelniony użytkownik mający dostęp do zaufanego prywatnego klucza wyszukiwania rozproszonego może sfałszować administracyjny token sesji, uzyskać dostęp do wszystkich istotnych danych, wpłynąć na integralność systemu i zakłócić dostępność usług. Podatność wynika z tego, że punkt końcowy tokena uwierzytelniania wyszukiwania rozproszonego nie wymaga podpisanego żądania do identyfikacji skonfigurowanego peera wyszukiwania, co pozwala żądaniu na użycie wspólnego lokalnego materiału klucza.

W wersjach Splunk Enterprise poniżej 10.4.2 i 10.2.6 użytkownik bez ról admin lub power może usunąć wszystkie moduły SPL2 w całej instancji przez API REST. Może to usunąć wyeksportowane zbiory danych i funkcje, naruszając integralność systemu i powodując częściowe zakłócenia usług.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 uwierzytelniony użytkownik bez uprawnienia edit_manager_xml może zapisać złośliwą konfigurację XML Menedżera Splunk Web. Po otwarciu strony przez tego użytkownika Splunk wykonuje polecenia systemowe kontrolowane przez atakującego.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z rolą power może zapisać akcję workflow Dashboard Studio z spreparowanym URL. Gdy inny uwierzytelniony użytkownik wybierze tę akcję, w jego przeglądarce wykonywany jest złośliwy JavaScript.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik może nakłonić uwierzytelnionego użytkownika do otwarcia spreparowanego linku do Analytics Workspace. Po otwarciu Splunk wykonuje SPL kontrolowane przez atakującego z uprawnieniami ofiary.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról admin lub power może wstrzyknąć SPL do żądań uruchamiania zapisanych wyszukiwań. Może to umożliwić nieautoryzowany dostęp do danych i naruszyć integralność systemu.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik może nakłonić uwierzytelnionego użytkownika do otwarcia spreparowanego linku do Monitoring Console. Po otwarciu Splunk wykonuje SPL kontrolowane przez atakującego z uprawnieniami ofiary.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z rolą power może zapisać złośliwy obiekt ui-tour pasujący do nazwy strony auto-tour i udostępnić go na poziomie aplikacji. Obiekt może wykonać dowolny JavaScript w przeglądarce innego uwierzytelnionego użytkownika.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik może wstrzyknąć dowolny SPL do żądań wyszukiwania zdarzeń w pobliżu wybranego zdarzenia. Może to umożliwić nieautoryzowane wykonywanie wyszukiwań.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z niskimi uprawnieniami bez uprawnienia fsh_manage może wykonać zdalny kod przez wybór pakietu Federated Search. Może to umożliwić dostęp do danych i naruszyć integralność oraz dostępność systemu.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról admin lub power może przenieść pliki, które konto Splunk może odczytać, do lookupu kontrolowanego przez użytkownika. Może to umożliwić dostęp do danych i naruszyć integralność oraz dostępność systemu.

W Splunk Enterprise w wersjach poniżej 10.4.1, 10.2.5, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik, który ma dostęp do portu zarządzania Splunk, może zapisać potok SPL, który wykona się, gdy administrator otworzy przepływ pracy Add Data forwarder. Potok SPL może uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność instancji Splunk. Wstrzyknięcie SPL jest możliwe, ponieważ identyfikatory klientów Deployment Server są umieszczane w wysyłanych wyszukiwaniach bez neutralizowania znaków specjalnych.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról "admin" lub "power" może wykonać dowolny kod na instancji Splunk przez Splunk Web Manager Configuration. Użytkownik może następnie uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z tego, że Splunk Web Manager Configuration ocenia wartości konfiguracji menedżera, a ścieżka REST API dla konfiguracji menedżera nie wymaga uprawnień, które normalnie kontrolują zapisy konfiguracji menedżera.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról "admin" lub "power" może wykonać zdalne wykonanie kodu (RCE) poprzez przesłanie spreparowanej zawartości Splunk Web Manager Configuration. Użytkownik może następnie uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z tego, że Splunk Web ocenia wyrażenia XML menedżera bez wystarczających ograniczeń wejściowych, a powiązana trasa konfiguracji nie wymaga uprawnień oczekiwanych dla zmian konfiguracji menedżera.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról "admin" lub "power" może wykonać zdalne wykonanie kodu (RCE) poprzez przesłanie złośliwego pakietu wiedzy i spowodowanie jego użycia przez wyszukiwanie rozproszone, co może umożliwić dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z tego, że punkt końcowy REST API do przesyłania pakietów wiedzy nie wymaga uprawnienia edit_dist_peer, a wyszukiwanie rozproszone akceptuje wybory pakietów wiedzy od użytkowników bez tego uprawnienia.

W Splunk Enterprise 10.4 w wersjach poniżej 10.4.2 nieuwierzytelniony użytkownik może odczytać metryki usługi Prometheus z sidecar SPL2 Preview Edge Processor, w tym szczegóły usługi ujawniające istotne metadane środowiska uruchomieniowego i kompilacji dla sidecar. Podatność nie dotyczy wersji Splunk Enterprise poniżej 10.4. Ujawnienie informacji jest możliwe, ponieważ punkt końcowy metryk Prometheus w sidecar SPL2 Preview Edge Processor nie wymaga uwierzytelnienia, co pozwala każdemu klientowi, który może dotrzeć do sidecar, pobrać metryki bez poświadczeń.