В версиях Splunk Enterprise ниже 10.4.2, 10.2.6, 10.0.9 и 9.4.14 неаутентифицированный пользователь мог внедрить произвольный язык обработки поиска (SPL) в запросы, которые ищут события рядом с выбранным событием. Это может привести к несанкционированному выполнению поиска. Уязвимость возможна, поскольку Splunk Web не обеспечивает последовательного экранирования значений, предоставленных вызывающей стороной, при построении SPL для поиска близлежащих событий, а встроенный доступ к отчетам принимает эти запросы без ожидаемой проверки авторизации.
Дополнительную информацию см. в разделе «Использовать время для поиска ближайших событий» (https://help.splunk.com/en/splunk-enterprise/search/search-manual/10.2/specify-time-ranges/use-time-to-find-nearby-events) в документации Splunk.
Показать оригинальное описание (EN)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, an unauthenticated user could inject arbitrary Search Processing Language (SPL) into requests that search for events near a selected event. This could allow for unauthorized search execution. The vulnerability is possible because Splunk Web does not consistently escape caller-supplied values when it builds SPL for nearby-event searches, and embedded report access accepts those requests without the expected authorization check. For more information see Use time to find nearby events (https://help.splunk.com/en/splunk-enterprise/search/search-manual/10.2/specify-time-ranges/use-time-to-find-nearby-events) in the Splunk documentation.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 4
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
9.4.0
|
9.4.14
|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
10.0.0
|
10.0.9
|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
10.2.0
|
10.2.6
|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
10.4.0
|
10.4.2
|