Alex Hordijk

**Name of the Vulnerable Software and Affected Versions** Splunk Enterprise versions prior to 10.4.2 Splunk Enterprise versions prior to 10.2.6 Splunk Enterprise versions prior to 10.0.10 Splunk Enterprise versions prior to 9.4.15 **Description** Users without admin or power roles can create or edit scripted lookup definitions via raw configuration endpoints. This occurs because raw transforms configuration write paths fail to perform external lookup capability checks before saving scripted lookup settings. **Recommendations** Update Splunk Enterprise to version 10.4.2 or later. Update Splunk Enterprise to version 10.2.6 or later. Update Splunk Enterprise to version 10.0.10 or later. Update Splunk Enterprise to version 9.4.15 or later.

**اسم البرنامج المصاب والإصدارات المتأثرة** Splunk Enterprise الإصدارات السابقة لـ 10.0.7 Splunk Enterprise الإصدارات السابقة لـ 10.2.4 **Description** يمكن لمستخدم غير مصرح له إنشاء أو قطع ملفات عشوائية من خلال نقطة نهاية خدمة PostgreSQL sidecar. يحدث هذا بسبب افتقار نقطة النهاية لعناصر التحكم في المصادقة، مما يسمح لأي مستخدم يمكن الوصول إليه عبر الشبكة بتنفيذ عمليات الملفات بدون بيانات اعتماد. يمكن استغلال هذه الثغرة لتحقيق تنفيذ عن بُعد للكود قبل المصادقة بصلاحيات مستوى Splunk. هناك حوالي 1,400 مثيل من البرنامج معرضة للإنترنت، معظمها في أمريكا الشمالية وأوروبا، ووردت تقارير عن استغلال محدود في هجمات واقعية. **Recommendations** تحديث Splunk Enterprise إلى الإصدار 10.0.7. تحديث Splunk Enterprise إلى الإصدار 10.2.4. كإجراء مؤقت، قم بتعطيل خدمة PostgreSQL sidecar.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 10.2.2 إصدارات Splunk Enterprise الأقدم من 10.0.5 إصدارات Splunk Enterprise الأقدم من 9.4.11 إصدارات Splunk Enterprise الأقدم من 9.3.12 إصدارات Splunk Cloud Platform الأقدم من 10.4.2603.1 إصدارات Splunk Cloud Platform الأقدم من 10.3.2512.9 إصدارات Splunk Cloud Platform الأقدم من 10.2.2510.11 إصدارات Splunk Cloud Platform الأقدم من 10.1.2507.21 إصدارات Splunk Cloud Platform السابقة للإصدار 10.0.2503.13 إصدارات Splunk Cloud Platform السابقة للإصدار 9.3.2411.129 **الوصف** يمكن لمستخدم ذي امتيازات منخفضة لا يمتلك أدوار ”admin“ أو ”power“ التسبب في هجوم رفض الخدمة (DoS) من خلال استغلال البرنامج النصي `coldToFrozen.sh` داخل تطبيق `splunk archiver`. تنشأ المشكلة من عدم وجود التحقق من صحة المدخلات في البرنامج النصي `coldToFrozen.sh`، مما يسمح بقبول مسارات ملفات عشوائية وإعادة تسمية الدلائل الحيوية، مما يؤدي إلى تعطل عمل المثيل. **التوصيات** قم بتحديث Splunk Enterprise إلى الإصدار 10.2.2 أو 10.0.5 أو 9.4.11 أو 9.3.12 حسب مسار الإصدار الحالي. قم بتحديث Splunk Cloud Platform إلى الإصدار 10.4.2603.1 أو 10.3.2512.9 أو 10.2.2510.11 أو 10.1.2507.21 أو 10.0.2503.13 أو 9.3.2411.129، اعتمادًا على مسار الإصدار الحالي. كحل مؤقت، قم بتقييد الوصول إلى البرنامج النصي `coldToFrozen.sh` في تطبيق `splunk archiver`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 10.2.0 و10.0.3 و9.4.9 و9.3.10 إصدارات Splunk Cloud Platform الأقدم من 10.2.2510.5 و10.1.2507.16 و10.0.2503.11 و9.3.2411.123 **الوصف** يمكن للمستخدم الذي يتمتع بامتيازات محدودة، ولا يمتلك أدوار Splunk ”admin“ أو ”power“، الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) `/splunkd/ raw/servicesNS/-/-/configs/conf-passwords`. تكشف نقطة النهاية هذه قيم كلمات المرور المشفرة أو النصية العادية المخزنة في ملف التكوين `passwords.conf` بسبب عدم كفاية ضوابط الوصول. وقد يؤدي ذلك إلى الكشف غير المصرح به عن بيانات اعتماد حساسة. **التوصيات** يجب تحديث إصدارات Splunk Enterprise الأقدم من 10.2.0 و10.0.3 و9.4.9 و9.3.10. يجب تحديث إصدارات Splunk Cloud Platform الأقدم من 10.2.2510.5 و10.1.2507.16 و10.0.2503.11 و9.3.2411.123.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 10.0.1 إصدارات Splunk Enterprise من 9.2.8 إلى 9.4.4 إصدارات Splunk Cloud Platform الأقدم من 9.3.2411.109 إصدارات Splunk Cloud Platform من 9.2.2406.122 إلى 9.3.2408.119 **الوصف** يمكن لمهاجم غير مصدق أن يقوم بتنفيذ هجوم تزوير طلبات من جانب الخادم (SSRF) أعمى. وقد يتيح ذلك للمهاجم إجراء استدعاءات واجهة برمجة التطبيقات REST نيابة عن مستخدم مصدق يتمتع بامتيازات عالية. يُعد تزوير الطلبات من جانب الخادم (SSRF) ثغرة أمنية على الويب تسمح للمهاجم بحمل التطبيق من جانب الخادم على إرسال طلبات HTTP إلى نطاق عشوائي يختاره المهاجم. **التوصيات** قم بتحديث Splunk Enterprise إلى الإصدار 10.0.1 أو أحدث. قم بتحديث Splunk Enterprise إلى إصدار أحدث من 9.4.4. قم بتحديث Splunk Cloud Platform إلى الإصدار 9.3.2411.109 أو أحدث. قم بتحديث Splunk Cloud Platform إلى إصدار أحدث من 9.3.2408.119 و9.2.2406.122.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 9.3.3 إصدارات Splunk Enterprise الأقدم من 9.2.5 إصدارات Splunk Enterprise الأقدم من 9.1.8 إصدارات Splunk Cloud Platform الأقدم من 9.3.2408.104 إصدارات Splunk Cloud Platform الأقدم من 9.2.2406.108 إصدارات Splunk Cloud Platform الأقدم من 9.2.2403.114 إصدارات Splunk Cloud Platform الأقدم من 9.1.2312.208 **الوصف** يمكن لمستخدم ذي امتيازات محدودة لا يمتلك دور «admin» أو «power» في Splunk تنفيذ «تنفيذ رمز عن بُعد» (RCE) من خلال تحميل ملف إلى الدليل «$SPLUNK HOME/var/run/splunk/apptemp» بسبب عدم وجود عمليات التحقق من التفويض. تسمح هذه الثغرة للمهاجمين بتنفيذ تعليمات برمجية عشوائية عن طريق تحميل ملفات ضارة. لا يتوفر العدد التقديري للأجهزة التي قد تكون متأثرة في جميع أنحاء العالم. ولا توجد معلومات عن حوادث فعلية تم فيها استغلال هذه الثغرة. **التوصيات** بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.3.3، قم بالتحديث إلى الإصدار 9.3.3 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.2.5، قم بالتحديث إلى الإصدار 9.2.5 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.1.8، قم بالتحديث إلى الإصدار 9.1.8 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.3.2408.104، قم بالتحديث إلى الإصدار 9.3.2408.104 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.2.2406.108، قم بالتحديث إلى

Name of the Vulnerable Software and Affected Versions: PAN-OS (affected versions not specified) Description: A blind XML External Entities (XXE) injection vulnerability in the Palo Alto Networks PAN-OS software enables an authenticated attacker to exfiltrate arbitrary files from firewalls to an attacker-controlled server. This attack requires network access to the firewall management interface. Recommendations: At the moment, there is no information about a newer version that contains a fix for this vulnerability.

Name of the Vulnerable Software and Affected Versions: Splunk Enterprise for Windows versions prior to 9.3.1 Splunk Enterprise for Windows versions prior to 9.2.3 Splunk Enterprise for Windows versions prior to 9.1.6 Description: The issue is related to incorrect restriction of the directory path name with limited access. A low-privileged user that does not hold the "admin" or "power" Splunk roles could write a file to the Windows system root directory, which has a default location in the Windows System32 folder, when Splunk Enterprise for Windows is installed on a separate drive. This could potentially lead to arbitrary file writing and remote code execution. Recommendations: For versions prior to 9.3.1, update to version 9.3.1 or later. For versions prior to 9.2.3, update to version 9.2.3 or later. For versions prior to 9.1.6, update to version 9.1.6 or later.

**Name of the Vulnerable Software and Affected Versions** Splunk Enterprise versions prior to 9.2.3 Splunk Enterprise versions prior to 9.1.6 **Description** The issue is related to insecure session storage configuration in Splunk Enterprise for Windows, allowing a low-privileged user without the "admin" or "power" Splunk roles to perform Remote Code Execution (RCE). This is due to deficiencies in the deserialization mechanism of the Splunk Web component. **Recommendations** For versions prior to 9.2.3, update to version 9.2.3 or later. For versions prior to 9.1.6, update to version 9.1.6 or later. As a temporary workaround, consider restricting access to the session storage configuration to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Splunk Enterprise versions prior to 9.2.2 Splunk Enterprise versions prior to 9.1.5 Splunk Enterprise versions prior to 9.0.10 **Description** A low-privileged user that does not hold the admin or power Splunk roles could cause a Remote Code Execution through an external lookup that references the `splunk archiver` application. This issue allows for remote code execution, potentially leading to significant security breaches. **Recommendations** For versions prior to 9.2.2, update to version 9.2.2 or later. For versions prior to 9.1.5, update to version 9.1.5 or later. For versions prior to 9.0.10, update to version 9.0.10 or later. As a temporary workaround, consider restricting access to the `splunk archiver` application until a patch is applied.

**Name of the Vulnerable Software and Affected Versions** Splunk Enterprise versions below 9.0.7 and 9.1.2 **Description** The issue is related to the improper sanitization of extensible stylesheet language transformations (XSLT) supplied by users in Splunk Enterprise. This allows an attacker to upload malicious XSLT, potentially resulting in remote code execution on the Splunk Enterprise instance. There are over 120,000 publicly exposed Splunk instances, making them vulnerable to this issue. **Recommendations** For Splunk Enterprise versions below 9.0.7, update to version 9.0.7 or later. For Splunk Enterprise versions below 9.1.2, update to version 9.1.2 or later. As a temporary workaround, consider restricting access to the XSLT functionality until a patch is applied.

**Name of the Vulnerable Software and Affected Versions** Palo Alto Networks PAN-OS (affected versions not specified) **Description** A file disclosure issue in the software enables an authenticated read-write administrator with access to the web interface to export local files from the firewall through a race condition. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** GenieACS versions 1.2.x through 1.2.7 **Description** The issue arises from insufficient input validation combined with a missing authorization check in the UI interface API, allowing unauthenticated OS command injection via the `ping host` argument. This is due to vulnerabilities in the `lib/ui/api.ts` and `lib/ping.ts` files. **Recommendations** For GenieACS versions 1.2.x through 1.2.7, update to version 1.2.8 or later to resolve the issue. As a temporary workaround, consider restricting access to the `lib/ui/api.ts` and `lib/ping.ts` files to minimize the risk of exploitation. Avoid using the `ping host` argument in the UI interface API until the issue is resolved.