Katalog podatności CVE

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik z rolą power może przechowywać ryzykowne polecenia SPL w zbiorze danych Table Editor i udostępnić go. Użytkownik z rolą admin uruchamia te polecenia po otwarciu zbioru w Table Editor, co może ujawnić dane i modyfikować pliki lookup. Podatność wynika z braku zabezpieczeń SPL dla ryzykownych poleceń w wyszukiwaniu field-summary.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z rolą "power" może zapisać złośliwy kod SPL w zbiorze danych Table Editor i udostępnić go. Gdy użytkownik z rolą "admin" otworzy ten zbiór, kod SPL wykona się z jego uprawnieniami, co może ujawnić dane i umożliwić ich modyfikację. Luka wynika z braku zabezpieczeń SPL dla ryzykownych poleceń w Table Editor.

W Splunk Enterprise 10.4 poniżej 10.4.2, nieuwierzytelniony użytkownik może wymusić przeładowanie kluczy podpisujących tokeny przez API REST. Podatność wynika z braku wymogu uwierzytelnienia lub uprawnienia change_authentication dla akcji przeładowania kluczy.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik bez ról admin lub power może wstrzyknąć dowolne polecenia SPL przez komendę geostats. Wstrzyknięte SPL wykonuje się z uprawnieniami innego uwierzytelnionego użytkownika po tym, jak ten zainicjuje wyszukiwanie geostats w Splunk Web. Podatność wynika z niewystarczającej walidacji danych wejściowych.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, nieuwierzytelniony użytkownik mający dostęp do zaufanego prywatnego klucza wyszukiwania rozproszonego może sfałszować administracyjny token sesji, uzyskać dostęp do wszystkich istotnych danych, wpłynąć na integralność systemu i zakłócić dostępność usług. Podatność wynika z tego, że punkt końcowy tokena uwierzytelniania wyszukiwania rozproszonego nie wymaga podpisanego żądania do identyfikacji skonfigurowanego peera wyszukiwania, co pozwala żądaniu na użycie wspólnego lokalnego materiału klucza.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, nieuwierzytelniony użytkownik może odczytać pliki JavaScript poza katalogiem statycznym Splunk Web. Podatność wynika z braku ograniczenia żądań plików statycznych do skonfigurowanego katalogu.

W wersjach Splunk Enterprise poniżej 10.4.2 i 10.2.6 użytkownik bez ról admin lub power może usunąć wszystkie moduły SPL2 w całej instancji przez API REST. Może to usunąć wyeksportowane zbiory danych i funkcje, naruszając integralność systemu i powodując częściowe zakłócenia usług.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 uwierzytelniony użytkownik bez uprawnienia edit_manager_xml może zapisać złośliwą konfigurację XML Menedżera Splunk Web. Po otwarciu strony przez tego użytkownika Splunk wykonuje polecenia systemowe kontrolowane przez atakującego.

Użytkownik z rolą "power" w Splunk Enterprise może zapisać akcję przepływu pracy w Dashboard Studio zawierającą kontrolowany przez atakującego język SPL. Gdy inny uwierzytelniony użytkownik wybierze tę akcję, Splunk uruchomi wstrzyknięty SPL z uprawnieniami tego użytkownika, co może pozwolić na dostęp lub modyfikację danych. Podatność wynika z niedostatecznej walidacji adresów URL akcji przepływu pracy w Dashboard Studio.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z rolą power może zapisać akcję workflow Dashboard Studio z spreparowanym URL. Gdy inny uwierzytelniony użytkownik wybierze tę akcję, w jego przeglądarce wykonywany jest złośliwy JavaScript.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik może nakłonić uwierzytelnionego użytkownika do otwarcia spreparowanego linku do Analytics Workspace. Po otwarciu Splunk wykonuje SPL kontrolowane przez atakującego z uprawnieniami ofiary.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról admin lub power może wstrzyknąć SPL do żądań uruchamiania zapisanych wyszukiwań. Może to umożliwić nieautoryzowany dostęp do danych i naruszyć integralność systemu.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik może nakłonić uwierzytelnionego użytkownika do otwarcia spreparowanego linku do Monitoring Console. Po otwarciu Splunk wykonuje SPL kontrolowane przez atakującego z uprawnieniami ofiary.

Nieuwierzytelniony atakujący może nakłonić użytkownika z rolą "admin" do otwarcia spreparowanego linku do Monitoring Console. Po otwarciu linku Splunk Enterprise uruchamia kontrolowany przez atakującego język SPL z uprawnieniami tego użytkownika, co może ujawnić dane lub zmodyfikować dane wyszukiwania. Podatność wynika z niedostatecznej walidacji danych używanych do budowania wyszukiwań w pulpitach Monitoring Console.

Użytkownik z rolą "power" może zapisać kontrolowany przez atakującego język SPL w pulpicie. Gdy inny uwierzytelniony użytkownik eksportuje pulpit do pliku PDF, Splunk Enterprise uruchamia wstrzyknięty SPL z uprawnieniami tego użytkownika, co może pozwolić na dostęp lub modyfikację danych. Podatność wynika z niedostatecznej walidacji zawartości pulpitu przed przetworzeniem eksportu PDF.

Nieuwierzytelniony atakujący może nakłonić użytkownika z rolą "admin" lub "sc_admin" do otwarcia spreparowanego adresu URL Splunk Web. Wynikające z tego wyszukiwania w pulpitach mogą uruchamiać dowolne polecenia SPL z uprawnieniami ofiary, co może ujawnić dane i wpłynąć na wyniki wyszukiwania lub dane wyszukiwania. Podatność wynika z nieprawidłowej neutralizacji wartości dostarczanych przez wywołującego w pulpitach Splunk Secure Gateway.

Użytkownik bez ról "admin" lub "power" może zapisać widok pulpitu, który uruchamia JavaScript w przeglądarce innego użytkownika, gdy ten otworzy pulpit i najedzie kursorem na komórkę tabeli sparkline. Może to pozwolić na dostęp do wszystkich istotnych danych i naruszenie integralności systemu. Podatność wynika z niedostatecznego ograniczenia opcji tooltipów i braku escapowania zawartości tooltipów przed wyświetleniem.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z rolą power może zapisać złośliwy obiekt ui-tour pasujący do nazwy strony auto-tour i udostępnić go na poziomie aplikacji. Obiekt może wykonać dowolny JavaScript w przeglądarce innego uwierzytelnionego użytkownika.

Użytkownik z rolą "power" może utworzyć złośliwą wycieczkę Splunk Web i spowodować wykonanie dowolnego JavaScript w przeglądarce innego użytkownika, gdy ten otworzy spreparowany link do wycieczki. JavaScript wykonuje się w przeglądarce ofiary, umożliwiając dostęp do wszystkich istotnych danych. Podatność XSS wynika z niedostatecznego kodowania wyjściowego treści wycieczki i linków nawigacyjnych oraz akceptowania wartości selektora wycieczki, która może być traktowana jako znaczniki.

Użytkownik bez ról "admin" lub "power" może ominąć zabezpieczenia SPL dla ryzykownych poleceń przez pulpit Job Details. Wstrzyknięty SPL może zostać uruchomiony z uprawnieniami uwierzytelnionego użytkownika, który otworzy spreparowany link do pulpitu Job Details. Może to pozwolić na dostęp do wszystkich istotnych danych i wpłynąć na integralność systemu. Podatność wynika z nieprawidłowej neutralizacji identyfikatora wyszukiwania dostarczonego przez wywołującego przed umieszczeniem go w wyszukiwaniach SPL.