Katalog podatności CVE

Nieuwierzytelniony atakujący może nakłonić użytkownika z rolą "admin" lub "sc_admin" do otwarcia spreparowanego adresu URL Splunk Web. Wynikające z tego wyszukiwania w pulpitach mogą uruchamiać dowolne polecenia SPL z uprawnieniami ofiary, co może ujawnić dane i wpłynąć na wyniki wyszukiwania lub dane wyszukiwania. Podatność wynika z nieprawidłowej neutralizacji wartości dostarczanych przez wywołującego w pulpitach Splunk Secure Gateway.

Użytkownik bez ról "admin" lub "power" może zapisać widok pulpitu, który uruchamia JavaScript w przeglądarce innego użytkownika, gdy ten otworzy pulpit i najedzie kursorem na komórkę tabeli sparkline. Może to pozwolić na dostęp do wszystkich istotnych danych i naruszenie integralności systemu. Podatność wynika z niedostatecznego ograniczenia opcji tooltipów i braku escapowania zawartości tooltipów przed wyświetleniem.

Użytkownik z rolą "power" może utworzyć złośliwą wycieczkę Splunk Web i spowodować wykonanie dowolnego JavaScript w przeglądarce innego użytkownika, gdy ten otworzy spreparowany link do wycieczki. JavaScript wykonuje się w przeglądarce ofiary, umożliwiając dostęp do wszystkich istotnych danych. Podatność XSS wynika z niedostatecznego kodowania wyjściowego treści wycieczki i linków nawigacyjnych oraz akceptowania wartości selektora wycieczki, która może być traktowana jako znaczniki.

Użytkownik bez ról "admin" lub "power" może ominąć zabezpieczenia SPL dla ryzykownych poleceń przez pulpit Job Details. Wstrzyknięty SPL może zostać uruchomiony z uprawnieniami uwierzytelnionego użytkownika, który otworzy spreparowany link do pulpitu Job Details. Może to pozwolić na dostęp do wszystkich istotnych danych i wpłynąć na integralność systemu. Podatność wynika z nieprawidłowej neutralizacji identyfikatora wyszukiwania dostarczonego przez wywołującego przed umieszczeniem go w wyszukiwaniach SPL.

Użytkownik z rolą "user" może stworzyć pulpit Dashboard Studio, który uruchamia kontrolowany przez atakującego język SPL dla innego uwierzytelnionego użytkownika. Kontrolowany SPL może uzyskać dostęp do wszystkich istotnych danych oraz wpłynąć na integralność i dostępność systemu. Podatność wynika z niespójnego egzekwowania granicy autoryzacji widoczności aplikacji przed dotarciem opcji zapytań pulpitu do wysyłki wyszukiwania.

Nieuwierzytelniony atakujący może spowodować, że uwierzytelniony użytkownik wykona dowolne wyszukiwania SPL w jego imieniu przez Event Type Builder. Może to ujawnić wszystkie istotne dane i przechowywane poświadczenia. Podatność występuje, gdy Event Type Builder akceptuje dane wejściowe z żądań między witrynami i zachowuje wartości wpływające na SPL podczas budowania przykładowych wyszukiwań zdarzeń.

Użytkownik z rolą posiadającą uprawnienie schedule_search może zapisać złośliwy skrypt w polu warunku wyzwalania alertu. Gdy inny użytkownik otworzy spreparowany link, skrypt wykonuje się w przeglądarce tego użytkownika i może uzyskać dostęp do wszystkich danych dostępnych temu użytkownikowi. Podatność wynika z używania wartości progu alertu w generowanym znaczniku warunku wyzwalania alertu bez escapowania znaków specjalnych.

W wersjach Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z niskimi uprawnieniami, bez ról 'admin' lub 'power', może wstrzyknąć kod SQL przez API REST. Dzieje się tak, ponieważ API REST nie neutralizuje odpowiednio wartości filtrów dostarczanych przez użytkownika, co pozwala na wykonanie atakującego tekstu jako części zapytania do bazy danych.

W wersjach Splunk Enterprise poniżej 10.4.2 i 10.2.6 użytkownik bez ról 'admin' lub 'power' może usuwać moduły SPL2 należące do innych użytkowników przez interfejs orchestratora zarządzania danymi. Podatność wynika z braku weryfikacji własności zasobów przed ich usunięciem (uszkodzona autoryzacja na poziomie obiektu).

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 oraz Splunk Secure Gateway poniżej 3.10.9, 3.9.23 i 3.8.70 użytkownik bez ról 'admin' lub 'power' może odczytać prywatne klucze Spacebridge przez API REST Key Value Store. Podatność występuje na instancjach zaktualizowanych ze starszych wersji, gdy migracja kluczy prywatnych jest niekompletna, pozostawiając klucze w kolekcji z niebezpieczną domyślną listą kontroli dostępu.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z uprawnieniem rest_properties_get może odczytać zaszyfrowane poświadczenia przez API REST. Podatność wynika z błędnego przypisania uprawnień: endpoint właściwości wymaga uprawnienia rest_properties_get zamiast list_storage_passwords do odczytu poświadczeń.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 oraz Splunk Secure Gateway poniżej 3.10.10, 3.9.24 i 3.8.71 użytkownik bez ról 'admin' lub 'power' może zarejestrować dowolną aplikację towarzyszącą i spowodować przekazywanie żądań użytkowników mobilnych, w tym tokenów, na adres URL kontrolowany przez atakującego. Podatność wynika z twardo zakodowanego klucza kryptograficznego w handlerze rejestracji aplikacji towarzyszących, co pozwala na rejestrację dowolnego adresu zwrotnego bez ograniczeń.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 oraz Splunk Secure Gateway poniżej 3.10.10, 3.9.24 i 3.8.71 użytkownik z uprawnieniami do listowania haseł, ale bez uprawnień administracyjnych Splunk Secure Gateway, może uzyskać dostęp do sekretów podpisywania MDM, co zagraża zaufaniu do rejestracji urządzeń mobilnych. Podatność wynika z braku wymagania uprawnień administracyjnych Splunk Secure Gateway w endpointach REST dla pakietów wdrożeniowych, konfiguracji SAML i aplikacji towarzyszących.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 oraz Splunk Secure Gateway poniżej 3.10.9, 3.9.23 i 3.8.70 użytkownik bez ról 'admin' lub 'power' może odczytać wrażliwe informacje o konfiguracji SAML i ustawieniach instancji przez endpointy REST Splunk Secure Gateway. Podatność wynika z braku egzekwowania wymagań autoryzacji w tych endpointach przed zwróceniem informacji konfiguracyjnych.

W Splunk Enterprise poniżej 10.4.1, 10.2.6, 10.0.8 i 9.4.13 użytkownik bez ról 'admin' lub 'power' może nakłonić innego użytkownika do uruchomienia dowolnych poleceń SPL przez Edytor Modeli Danych, wykorzystując uprawnienia ofiary. Podatność wynika z braku zabezpieczeń SPL dla ryzykownych poleceń podczas uruchamiania wyszukiwania bazowego dla pól automatycznie wyodrębnianych. Atak wymaga phishingu ofiary.

W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.13 nieuwierzytelniony użytkownik, który nakłoni ofiarę do odwiedzenia złośliwej strony, może uruchomić nieautoryzowany JavaScript w przeglądarce ofiary. Podatność XSS wynika z braku walidacji pochodzenia i źródła wiadomości otrzymywanych przez handler wiadomości strony. Atak wymaga phishingu ofiary.

Odczyt poza zakresem w kliencie Remote Desktop umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.

TinaCMS przed wersją 2.5.2 zawiera podatność w serwerze deweloperskim Vite, gdzie serwer nie odrzuca żądań z niedozwolonych źródeł (CORS) i nadal przetwarza żądania POST do /media/upload/*. Zdalny atakujący może nakłonić przeglądarkę dewelopera do wysłania żądania zmieniającego stan, co pozwala na zapisanie kontrolowanej zawartości w katalogu mediów.

Adaptery mediów produkcyjnych TinaCMS (next-tinacms-s3, next-tinacms-dos, next-tinacms-azure, next-tinacms-cloudinary) przed wskazanymi wersjami nie egzekwują skonfigurowanego mediaRoot przy operacjach upload/delete. Uwierzytelniony edytor CMS może tworzyć lub usuwać obiekty w dowolnym miejscu dostępnym dla poświadczeń magazynu, w tym w innych dzierżawach lub obiektach niebędących mediami.

IBM System Storage DS8A00 i DS8900F w określonych wersjach umożliwiają uwierzytelnionemu użytkownikowi odczyt lub modyfikację historii poleceń innego użytkownika z powodu zewnętrznie kontrolowanej nazwy pliku.