Katalog podatności CVE

Użytkownik z rolą "power" może utworzyć złośliwą wycieczkę Splunk Web i spowodować wykonanie dowolnego JavaScript w przeglądarce innego użytkownika, gdy ten otworzy spreparowany link do wycieczki. JavaScript wykonuje się w przeglądarce ofiary, umożliwiając dostęp do wszystkich istotnych danych. Podatność XSS wynika z niedostatecznego kodowania wyjściowego treści wycieczki i linków nawigacyjnych oraz akceptowania wartości selektora wycieczki, która może być traktowana jako znaczniki.

Użytkownik bez ról "admin" lub "power" może ominąć zabezpieczenia SPL dla ryzykownych poleceń przez pulpit Job Details. Wstrzyknięty SPL może zostać uruchomiony z uprawnieniami uwierzytelnionego użytkownika, który otworzy spreparowany link do pulpitu Job Details. Może to pozwolić na dostęp do wszystkich istotnych danych i wpłynąć na integralność systemu. Podatność wynika z nieprawidłowej neutralizacji identyfikatora wyszukiwania dostarczonego przez wywołującego przed umieszczeniem go w wyszukiwaniach SPL.

Użytkownik z rolą "user" może stworzyć pulpit Dashboard Studio, który uruchamia kontrolowany przez atakującego język SPL dla innego uwierzytelnionego użytkownika. Kontrolowany SPL może uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z niespójnego egzekwowania granicy autoryzacji widoczności aplikacji przed dotarciem opcji zapytań pulpitu do wysyłki wyszukiwania.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik może wstrzyknąć dowolny SPL do żądań wyszukiwania zdarzeń w pobliżu wybranego zdarzenia. Może to umożliwić nieautoryzowane wykonywanie wyszukiwań.

Nieuwierzytelniony atakujący może spowodować, że uwierzytelniony użytkownik wykona dowolne wyszukiwania SPL w jego imieniu przez Event Type Builder. Może to ujawnić wszystkie istotne dane i przechowywane poświadczenia. Podatność występuje, gdy Event Type Builder akceptuje dane wejściowe z żądań między witrynami i zachowuje wartości wpływające na SPL podczas budowania przykładowych wyszukiwań zdarzeń.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z niskimi uprawnieniami bez uprawnienia fsh_manage może wykonać zdalny kod przez wybór pakietu Federated Search. Może to umożliwić dostęp do danych i naruszyć integralność oraz dostępność systemu.

Użytkownik z rolą posiadającą uprawnienie schedule_search może zapisać złośliwy skrypt w polu warunku wyzwalania alertu. Gdy inny użytkownik otworzy spreparowany link, skrypt wykonuje się w przeglądarce tego użytkownika i może uzyskać dostęp do wszystkich danych dostępnych temu użytkownikowi. Podatność wynika z używania wartości progu alertu w generowanym znaczniku warunku wyzwalania alertu bez escapowania znaków specjalnych.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról admin lub power może przenieść pliki, które konto Splunk może odczytać, do lookupu kontrolowanego przez użytkownika. Może to umożliwić dostęp do danych i naruszyć integralność oraz dostępność systemu.

W Splunk Enterprise w wersjach poniżej 10.4.1, 10.2.5, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik, który ma dostęp do portu zarządzania Splunk, może zapisać potok SPL, który wykona się, gdy administrator otworzy przepływ pracy Add Data forwarder. Potok SPL może uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność instancji Splunk. Wstrzyknięcie SPL jest możliwe, ponieważ identyfikatory klientów Deployment Server są umieszczane w wysyłanych wyszukiwaniach bez neutralizowania znaków specjalnych.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról "admin" lub "power" może wykonać dowolny kod na instancji Splunk przez Splunk Web Manager Configuration. Użytkownik może następnie uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z tego, że Splunk Web Manager Configuration ocenia wartości konfiguracji menedżera, a ścieżka REST API dla konfiguracji menedżera nie wymaga uprawnień, które normalnie kontrolują zapisy konfiguracji menedżera.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról "admin" lub "power" może wykonać zdalne wykonanie kodu (RCE) poprzez przesłanie spreparowanej zawartości Splunk Web Manager Configuration. Użytkownik może następnie uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z tego, że Splunk Web ocenia wyrażenia XML menedżera bez wystarczających ograniczeń wejściowych, a powiązana trasa konfiguracji nie wymaga uprawnień oczekiwanych dla zmian konfiguracji menedżera.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik bez ról "admin" lub "power" może wykonać zdalne wykonanie kodu (RCE) poprzez przesłanie złośliwego pakietu wiedzy i spowodowanie jego użycia przez wyszukiwanie rozproszone, co może umożliwić dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z tego, że punkt końcowy REST API do przesyłania pakietów wiedzy nie wymaga uprawnienia edit_dist_peer, a wyszukiwanie rozproszone akceptuje wybory pakietów wiedzy od użytkowników bez tego uprawnienia.

W Splunk Enterprise w wersjach poniżej 10.4.1, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik, który może odczytać źródło HTML strony osadzającej raport Splunk, może wykorzystać ujawnione materiały sesji do uzyskania dostępu do wszystkich istotnych danych i wpłynąć na integralność systemu. Podatność wynika z nieprawidłowego egzekwowania granic autoryzacji dla osadzonych raportów w ścieżce pobierania archiwum dispatch oraz z uwzględniania wrażliwych materiałów sesji w zarchiwizowanych danych zadań wyszukiwania.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik posiadający token osadzonego raportu może pobrać archiwum dispatch dla zadania wyszukiwania osadzonego raportu i wykorzystać ujawnione materiały sesji do uzyskania dostępu do wszystkich istotnych danych oraz wpłynąć na integralność systemu na instancji Splunk. Podatność wynika z tego, że przepływ autoryzacji osadzonych raportów nie blokuje żądań pobrania archiwum dispatch przed rozpoczęciem wysyłania archiwum do żądającego.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik posiadający token osadzonego raportu może pobrać powiązane archiwum dispatch zadania wyszukiwania, odzyskać materiały sesji i użyć ich do uzyskania dostępu do wszystkich istotnych danych dostępnych właścicielowi raportu oraz wpłynąć na integralność systemu, w tym wykonywać działania administracyjne, gdy właściciel ma rolę "admin" Splunk. Podatność wynika z tego, że dostęp do osadzonych raportów nie blokuje żądań pobrania archiwum dispatch przez API REST.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z niskimi uprawnieniami, bez ról 'admin' lub 'power', może wstrzyknąć kod SQL przez API REST. Dzieje się tak, ponieważ API REST nie neutralizuje odpowiednio wartości filtrów dostarczanych przez użytkownika, co pozwala na wykonanie atakującego tekstu jako części zapytania do bazy danych.

W wersjach Splunk Enterprise poniżej 10.4.2 i 10.2.6 użytkownik bez ról 'admin' lub 'power' może usuwać moduły SPL2 należące do innych użytkowników przez interfejs orchestratora zarządzania danymi. Podatność wynika z braku weryfikacji własności zasobów przed ich usunięciem (uszkodzona autoryzacja na poziomie obiektu).

W Splunk Enterprise 10.4 w wersjach poniżej 10.4.2 nieuwierzytelniony użytkownik może odczytać metryki usługi Prometheus z sidecar SPL2 Preview Edge Processor, w tym szczegóły usługi ujawniające istotne metadane środowiska uruchomieniowego i kompilacji dla sidecar. Podatność nie dotyczy wersji Splunk Enterprise poniżej 10.4. Ujawnienie informacji jest możliwe, ponieważ punkt końcowy metryk Prometheus w sidecar SPL2 Preview Edge Processor nie wymaga uwierzytelnienia, co pozwala każdemu klientowi, który może dotrzeć do sidecar, pobrać metryki bez poświadczeń.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 oraz Splunk Secure Gateway poniżej 3.10.9, 3.9.23 i 3.8.70 użytkownik bez ról 'admin' lub 'power' może odczytać prywatne klucze Spacebridge przez API REST Key Value Store. Podatność występuje na instancjach zaktualizowanych ze starszych wersji, gdy migracja kluczy prywatnych jest niekompletna, pozostawiając klucze w kolekcji z niebezpieczną domyślną listą kontroli dostępu.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z uprawnieniem rest_properties_get może odczytać zaszyfrowane poświadczenia przez API REST. Podatność wynika z błędnego przypisania uprawnień: endpoint właściwości wymaga uprawnienia rest_properties_get zamiast list_storage_passwords do odczytu poświadczeń.