CVE-2023-40593

Podatność w Splunk Enterprise przed wersjami 10.4.3 i 10.2.7 pozwala nieuwierzytelnionemu użytkownikowi z dostępem sieciowym do API REST Patroni na członku klastra wyszukiwania na wykonanie poleceń systemu operacyjnego. Interfejs nie wymaga uwierzytelnienia dla krytycznych operacji konfiguracyjnych.

W Splunk Enterprise w wersjach poniżej 10.4.1, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik, który może odczytać źródło HTML strony osadzającej raport Splunk, może wykorzystać ujawnione materiały sesji do uzyskania dostępu do wszystkich istotnych danych i wpłynąć na integralność systemu. Podatność wynika z nieprawidłowego egzekwowania granic autoryzacji dla osadzonych raportów w ścieżce pobierania archiwum dispatch oraz z uwzględniania wrażliwych materiałów sesji w zarchiwizowanych danych zadań wyszukiwania.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik posiadający token osadzonego raportu może pobrać archiwum dispatch dla zadania wyszukiwania osadzonego raportu i wykorzystać ujawnione materiały sesji do uzyskania dostępu do wszystkich istotnych danych oraz wpłynąć na integralność systemu na instancji Splunk. Podatność wynika z tego, że przepływ autoryzacji osadzonych raportów nie blokuje żądań pobrania archiwum dispatch przed rozpoczęciem wysyłania archiwum do żądającego.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik posiadający token osadzonego raportu może pobrać powiązane archiwum dispatch zadania wyszukiwania, odzyskać materiały sesji i użyć ich do uzyskania dostępu do wszystkich istotnych danych dostępnych właścicielowi raportu oraz wpłynąć na integralność systemu, w tym wykonywać działania administracyjne, gdy właściciel ma rolę "admin" Splunk. Podatność wynika z tego, że dostęp do osadzonych raportów nie blokuje żądań pobrania archiwum dispatch przez API REST.

W Splunk Enterprise w wersjach poniżej 10.4.4 i 10.2.8 użytkownik bez ról admin lub power może odtworzyć hasło superużytkownika bazy PostgreSQL sidecar i uruchomić dowolne polecenia systemowe jako konto uruchamiające Splunk Enterprise na członkach klastra search head. Luka wynika z faktu, że usługa PostgreSQL sidecar wyprowadza uprzywilejowane hasło bazy z identyfikatora klastra search head, który pojawia się w logach zadań wyszukiwania.

W Splunk Enterprise (wersje poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16) nieuwierzytelniony użytkownik może nakłonić użytkownika z uprawnieniem edit_federated_providers do wyłączenia wszystkich dostawców wyszukiwania sfederowanego. Wynika to z faktu, że API REST dostawców sfederowanych akceptuje żądania GET dla akcji zmieniających stan, a atak wymaga phishingu ofiary.

W Splunk Enterprise w wersjach poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16 użytkownik nieposiadający ról "admin" ani "power" mógł tworzyć, przenosić, edytować lub usuwać konfiguracje zmiany nazw typów źródłowych, których jest właścicielem, w aplikacjach, do których nie ma uprawnień dostępu. Luka jest możliwa przy włączonym Splunk Web, ponieważ nie weryfikuje on wymaganych uprawnień aplikacji przed wykonaniem operacji zmiany nazw typów źródłowych.

W Splunk Enterprise w wersjach poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16 oraz w Splunk Secure Gateway w wersjach poniżej 3.10.12, 3.9.26 i 3.8.73 użytkownik nieposiadający ról "admin" lub "power" może przeglądać listy dashboardów i raportów poza zakresem żądanego filtra, pozostając w granicach obiektów, do których ma dostęp. Podatność wynika z nieneutralizowania znaków specjalnych w wartościach przed utworzeniem filtrów.

W Splunk Enterprise w wersjach poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16 użytkownik nieposiadający ról "admin" ani "power" mógł przenosić wyodrębnienia pól lub transformacje pól do aplikacji, do których nie ma uprawnień odczytu. Luka jest możliwa, ponieważ API REST nie weryfikuje dostępu do aplikacji docelowej przed przetworzeniem operacji przenoszenia wyodrębnień i transformacji pól.