В версиях Splunk Enterprise ниже 10.4.2, 10.2.6, 10.0.9 и 9.4.14 пользователь, не обладающий ролями Splunk «администратор» или «право», может обойти защиту языка обработки поиска (SPL) для рискованных команд через панель сведений о задании. Внедренный SPL может выполняться с использованием разрешений аутентифицированного пользователя, который открывает созданную ссылку на панель мониторинга «Сведения о задании». Это может открыть доступ ко всем соответствующим данным и повлиять на целостность системы в рамках этих разрешений.
Уязвимость возможна потому, что информационная панель «Сведения о задании» неправильно нейтрализует идентификатор поиска, предоставленный вызывающим абонентом, перед размещением его в поиске SPL. Уязвимость требует, чтобы злоумышленник обманом заставил пользователя открыть созданную ссылку. Пользователь, не обладающий ролями Splunk «admin» или «power», не должен иметь возможности использовать уязвимость по своему желанию.
Дополнительную информацию см. в разделе «О заданиях и управлении заданиями» (https://help.splunk.com/en/splunk-enterprise/search/search-manual/10.4/manage-jobs/about-jobs-and-job-management) документации Splunk.
Показать оригинальное описание (EN)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who does not hold the "admin" or "power" Splunk roles could bypass Search Processing Language (SPL) safeguards for risky commands through the Job Details dashboard. The injected SPL could run using the permissions of an authenticated user who opens a crafted Job Details dashboard link. This could allow access to all relevant data and affect system integrity within those permissions. The vulnerability is possible because the Job Details dashboard does not correctly neutralize a caller-supplied search identifier before placing it into SPL searches. The vulnerability requires the attacker to phish the user by tricking them into opening the crafted link. The user who does not hold the "admin" or "power" Splunk roles should not be able to exploit the vulnerability at will. For more information see About jobs and job management (https://help.splunk.com/en/splunk-enterprise/search/search-manual/10.4/manage-jobs/about-jobs-and-job-management) in the Splunk documentation.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 4
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
9.4.0
|
9.4.14
|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
10.0.0
|
10.0.9
|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
10.2.0
|
10.2.6
|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
10.4.0
|
10.4.2
|