Katalog podatności CVE

W Splunk SOAR w wersjach poniżej 8.6.0 użytkownik z rolą "Automation Engineer" może uruchamiać dowolne zapytania SQL przeciwko bazie danych Splunk SOAR poprzez pobieranie niestandardowych list w playbooku, umożliwiając operacje tworzenia, odczytu, aktualizacji i usuwania na wszystkich istotnych danych. Podatność na wstrzyknięcie SQL wynika z budowania zapytania do bazy z podaną nazwą listy zamiast użycia powiązanej wartości SQL.

W Splunk SOAR w wersjach poniżej 8.6.0 użytkownik z rolą "Automation Engineer" może uruchamiać dowolne zapytania SQL przeciwko bazie danych Splunk SOAR poprzez wyniki niestandardowych funkcji, umożliwiając odczyt wszystkich istotnych danych i wpływając na integralność systemu. Podatność na wstrzyknięcie SQL wynika z budowania zapytania do bazy z podaną nazwą zamiast użycia powiązanej wartości SQL.

W Splunk SOAR w wersjach poniżej 8.6.0 użytkownik z rolą "Automation Engineer" może uruchamiać dowolne zapytania SQL przeciwko bazie danych Splunk SOAR oraz tworzyć, odczytywać, aktualizować lub usuwać wszystkie dane w bazie. Podatność wynika z włączania danych dostarczonych przez użytkownika do zapytań do bazy bez odpowiedniej neutralizacji w API automatyzacji playbooków.

W Splunk SOAR w wersjach poniżej 8.6.0 uwierzytelniony użytkownik bez przypisanej roli może użyć punktu końcowego /rest/health do zebrania telemetrii systemu i klastra, która powinna być ograniczona do użytkowników administracyjnych lub wsparcia. Podatność wynika z braku sprawdzenia autoryzacji, gdzie punkt końcowy nie weryfikuje, czy wywołujący posiada rolę uprawnioną do przeglądania stanu zdrowia systemu i klastra.

W Splunk SOAR w wersjach poniżej 8.6.0 użytkownik z rolą Administratora może użyć podatności na przechodzenie po ścieżkach (path traversal) w instalatorze Universal Forwarder, aby zapisywać pliki poza zamierzonym katalogiem instalacyjnym. Podatność wynika z braku weryfikacji, czy każdy element archiwum pozostaje w zamierzonym miejscu docelowym przed rozpakowaniem.

W Splunk SOAR w wersjach poniżej 8.6.0 użytkownik z uprawnieniami do instalowania aplikacji może użyć podatności na przechodzenie po ścieżkach podczas instalacji aplikacji, aby zapisywać pliki poza zamierzonym katalogiem tymczasowym. Podatność wynika z braku walidacji, czy rozpakowane ścieżki plików pozostają w zamierzonym katalogu docelowym.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik, który nie posiada ról "admin" lub "power", może przesłać spreparowaną deltę pakietu wiedzy, aby usunąć dowolne pliki dostępne dla Splunk Enterprise na menedżerze klastra. Podatność wynika z braku ograniczenia ścieżek usuwania do katalogu tymczasowego oraz braku egzekwowania oczekiwanej granicy autoryzacji.

W wersjach Splunk Enterprise poniżej 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik może nakłonić uwierzytelnionego użytkownika do wykonania dowolnych poleceń SPL z jego uprawnieniami poprzez spreparowany link w Splunk Web. Podatność wynika z podstawiania wartości tokenów z URL do wyszukiwań SPL bez ich neutralizacji. Atak wymaga phishingu użytkownika.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 oraz Splunk Secure Gateway poniżej 3.10.9, 3.9.23 i 3.8.70, użytkownik bez ról admin lub power może wykorzystać SSRF w powiadomieniach raportów do wysyłania żądań z uprawnieniami systemowymi do wewnętrznych usług Splunk. Może to prowadzić do zmian w stanie Search Head Cluster i DoS. Podatność wynika z braku walidacji ścieżek powiadomień.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik z rolą power może przechowywać złośliwy skrypt w opcjach formatowania sparkline dashboardu i wykonać nieautoryzowany JavaScript w przeglądarce innego użytkownika. Jeśli ofiara ma rolę admin, skrypt może uzyskać dostęp do wszystkich danych i wykonywać działania z jej uprawnieniami. Podatność wynika z braku ograniczeń opcji wizualizacji i braku escapowania wartości tooltipów.

W Splunk Enterprise poniżej 10.4.2, użytkownik z wysokimi uprawnieniami zarządzający klastrem search head może użyć API REST do zapisu plików w lokalizacjach zapisywalnych przez konto Splunk, co może umożliwić zdalne wykonanie kodu. Podatność wynika z braku egzekwowania granic autoryzacji i braku walidacji ścieżek bundle.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik bez ról admin lub power może wykonywać dowolne zapytania SQL przez endpoint Data Orchestration jobs, co umożliwia dostęp do danych przechowywanych przez Data Orchestration, w tym zadań innych użytkowników i poświadczeń połączeń. Podatność wynika z budowania zapytań bez parametryzacji.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik z rolą power może przechowywać ryzykowne polecenia SPL w zbiorze danych Table Editor i udostępnić go. Użytkownik z rolą admin uruchamia te polecenia po otwarciu zbioru w Table Editor, co może ujawnić dane i modyfikować pliki lookup. Podatność wynika z braku zabezpieczeń SPL dla ryzykownych poleceń w wyszukiwaniu field-summary.

W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z rolą "power" może zapisać złośliwy kod SPL w zbiorze danych Table Editor i udostępnić go. Gdy użytkownik z rolą "admin" otworzy ten zbiór, kod SPL wykona się z jego uprawnieniami, co może ujawnić dane i umożliwić ich modyfikację. Luka wynika z braku zabezpieczeń SPL dla ryzykownych poleceń w Table Editor.

W Splunk Enterprise 10.4 poniżej 10.4.2, nieuwierzytelniony użytkownik może wymusić przeładowanie kluczy podpisujących tokeny przez API REST. Podatność wynika z braku wymogu uwierzytelnienia lub uprawnienia change_authentication dla akcji przeładowania kluczy.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik bez ról admin lub power może wstrzyknąć dowolne polecenia SPL przez komendę geostats. Wstrzyknięte SPL wykonuje się z uprawnieniami innego uwierzytelnionego użytkownika po tym, jak ten zainicjuje wyszukiwanie geostats w Splunk Web. Podatność wynika z niewystarczającej walidacji danych wejściowych.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, nieuwierzytelniony użytkownik może odczytać pliki JavaScript poza katalogiem statycznym Splunk Web. Podatność wynika z braku ograniczenia żądań plików statycznych do skonfigurowanego katalogu.

Użytkownik z rolą "power" w Splunk Enterprise może zapisać akcję przepływu pracy w Dashboard Studio zawierającą kontrolowany przez atakującego język SPL. Gdy inny uwierzytelniony użytkownik wybierze tę akcję, Splunk uruchomi wstrzyknięty SPL z uprawnieniami tego użytkownika, co może pozwolić na dostęp lub modyfikację danych. Podatność wynika z niedostatecznej walidacji adresów URL akcji przepływu pracy w Dashboard Studio.

Nieuwierzytelniony atakujący może nakłonić użytkownika z rolą "admin" do otwarcia spreparowanego linku do Monitoring Console. Po otwarciu linku Splunk Enterprise uruchamia kontrolowany przez atakującego język SPL z uprawnieniami tego użytkownika, co może ujawnić dane lub zmodyfikować dane wyszukiwania. Podatność wynika z niedostatecznej walidacji danych używanych do budowania wyszukiwań w pulpitach Monitoring Console.

Użytkownik z rolą "power" może zapisać kontrolowany przez atakującego język SPL w pulpicie. Gdy inny uwierzytelniony użytkownik eksportuje pulpit do pliku PDF, Splunk Enterprise uruchamia wstrzyknięty SPL z uprawnieniami tego użytkownika, co może pozwolić na dostęp lub modyfikację danych. Podatność wynika z niedostatecznej walidacji zawartości pulpitu przed przetworzeniem eksportu PDF.