Anton

In Splunk Enterprise versions below 10.4.4, 10.2.8, 10.0.11, and 9.4.16, an unauthenticated user could trick a user that holds a role with the edit federated providers capability into turning off all federated search providers. Successful exploitation could temporarily prevent federated searches from retrieving data from remote datasets. The vulnerability is possible because the federated provider Representational State Transfer (REST) API accepts GET requests for actions that change provider state. The vulnerability requires the attacker to phish the affected user by tricking them into initiating a request within their browser. The unauthenticated user should not be able to exploit the vulnerability at will. For more information see Run federated searches over remote Splunk platform deployments (https://help.splunk.com/en/splunk-enterprise/search/federated-search/10.6/run-federated-searches-across-other-splunk-deployments/run-federated-searches-over-remote-splunk-platform-deployments) and Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) in the Splunk documentation.

**Name of the Vulnerable Software and Affected Versions** Splunk Enterprise versions prior to 10.4.3 Splunk Enterprise versions prior to 10.2.7 Splunk Enterprise versions prior to 10.0.10 Splunk Enterprise versions prior to 9.4.15 **Description** Users with the `run collect` capability can use the `collect` Search Processing Language (SPL) command to write events to internal indexes that are outside the index access configured for their role. This occurs because the software fails to normalize whitespace in an index name before applying index-access restrictions. **Recommendations** Update to version 10.4.3 or later. Update to version 10.2.7 or later. Update to version 10.0.10 or later. Update to version 9.4.15 or later.

**Name of the Vulnerable Software and Affected Versions** Splunk Enterprise versions prior to 10.4.3 Splunk Enterprise versions prior to 10.2.7 Splunk Enterprise versions prior to 10.0.10 Splunk Enterprise versions prior to 9.4.15 **Description** An issue exists where a user with the `run collect` capability can use the `collect` Search Processing Language (SPL) command to insert attacker-controlled content into system-level messages. This occurs because the `collect` command fails to validate the index name before processing the value. **Recommendations** Update to version 10.4.3 or later. Update to version 10.2.7 or later. Update to version 10.0.10 or later. Update to version 9.4.15 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 10.2.0 و10.0.3 و9.4.5 و9.3.7 و9.2.9 إصدارات Splunk Cloud Platform الأقدم من 10.1.2507.0 و10.0.2503.9 و9.3.2411.112 و9.3.2408.122 **الوصف** قد يتمكن مستخدم ذو امتيازات محدودة، لا يمتلك دور «admin» أو «power» في Splunk، من التحايل على الإجراءات الأمنية المصممة للحماية من أوامر SPL التي قد تكون ضارة. ويحدث ذلك عند إنشاء نموذج بيانات يتضمن استعلام SPL مُدرجًا داخل كائن ما. ويتم التحايل من خلال ثغرة في اجتياز المسار. **التوصيات** قم بتحديث Splunk Enterprise إلى الإصدار 10.2.0 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 10.0.3 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.4.5 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.3.7 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.2.9 أو أحدث. قم بتحديث Splunk Cloud Platform إلى الإصدار 10.1.2507.0 أو أحدث. قم بتحديث Splunk Cloud Platform إلى الإصدار 10.0.2503.9 أو أحدث. قم بتحديث Splunk Cloud Platform إلى الإصدار 9.3.2411.112 أو أحدث. قم بتحديث Splunk Cloud Platform إلى الإصدار 9.3.2408.122 أو أحدث.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 10.0.2 و9.4.6 و9.3.8 و9.2.10 إصدارات Splunk Cloud Platform الأقدم من 10.1.2507.10 و10.0.2503.8 و9.3.2411.120 **الوصف** يمكن للمستخدم الذي يتمتع بامتيازات محدودة، دون صلاحيات إدارية أو صلاحيات متقدمة، إنشاء لوحة عرض تحتوي على صورة خلفية مخصصة باستخدام بروتوكول `data:image/png;base64`. وقد يؤدي ذلك إلى إعادة توجيه غير مُثبتة، مما يتجاوز آلية التنبيه الخاصة بـ Splunk بشأن عناوين URL الخارجية، ويؤدي محتملًا إلى إعادة توجيه المستخدم إلى موقع ويب ضار. يتطلب استغلال هذه الثغرة أن يقوم المهاجم بخداع الضحية عبر التصيد الاحتيالي لحثها على إرسال طلب عبر متصفحها. لا يمكن للمستخدم المصادق عليه استغلال هذه الثغرة بمفرده. تتضمن هذه الثغرة إنشاء عنوان URL لإجراء عملية إعادة التوجيه. **التوصيات** قم بتحديث Splunk Enterprise إلى الإصدار 10.0.2 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.4.6 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.3.8 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.2.10 أو أحدث. قم بتحديث Splunk Cloud Platform إلى الإصدار 10.1.2507.10 أو أحدث. قم بتحديث Splunk Cloud Platform إلى الإصدار 10.0.2503.8 أو أحدث. قم بتحديث Splunk Cloud Platform إلى الإصدار 9.3.2411.120 أو أحدث.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 10.0.2 إصدارات Splunk Enterprise من 9.2.10 إلى 9.4.6 إصدارات Splunk Enterprise 9.3.8 إصدارات تطبيق Splunk Secure Gateway الأقل من 3.7.28 إصدارات تطبيق Splunk Secure Gateway 3.8.58 والإصدارات الأقل منها إصدارات تطبيق Splunk Secure Gateway 3.9.10 **الوصف** قد يتلقى المستخدم الذي يتمتع بامتيازات محدودة، ولا يمتلك دور «admin» أو «power»، والمسجل في خدمة الإشعارات الفورية عبر الأجهزة المحمولة، إشعارات تكشف عن عنوان ووصف التقارير أو التنبيهات التي لا يحق له الاطلاع عليها. يحدث هذا في Splunk Enterprise وتطبيق Splunk Secure Gateway على منصة Splunk Cloud Platform. **التوصيات** قم بتحديث Splunk Enterprise إلى الإصدار 10.0.2 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.4.6 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.3.8 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.2.10 أو أحدث. قم بتحديث تطبيق Splunk Secure Gateway إلى الإصدار 3.7.28 أو أحدث. قم بتحديث تطبيق Splunk Secure Gateway إلى الإصدار 3.8.58 أو أحدث. قم بتحديث تطبيق Splunk Secure Gateway إلى الإصدار 3.9.10 أو أحدث.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 10.0.1 إصدارات Splunk Enterprise من 9.2.9 حتى 9.4.5 إصدارات Splunk Cloud Platform الأقدم من 9.3.2411.116 إصدارات Splunk Cloud Platform 9.3.2408.124 والإصدارات الأقدم منها إصدارات Splunk Cloud Platform الأقدم من 10.0.2503.5 إصدارات Splunk Cloud Platform الأقدم من 10.1.2507.1 **الوصف** يمكن لمستخدم يتمتع بامتيازات محدودة في Splunk Enterprise وSplunk Cloud Platform تنفيذ أوامر بامتيازات عالية. ويحدث ذلك لأن المستخدم الذي يتمتع بامتيازات منخفضة، دون أدوار إدارية أو سلطات، يمكنه التحايل على إجراءات الحماية الخاصة بالأوامر الخطرة داخل عمليات البحث المحفوظة. ويتم التحايل من خلال ترميز الأحرف في مسار REST لنقطة النهاية `/services/streams/search`، والتلاعب على وجه التحديد بالمعلمة `q`. يتطلب الاستغلال الناجح أن يقوم المهاجم بخداع الضحية، عبر التصيد الاحتيالي، لبدء طلب في متصفحه. لا يمكن للمستخدم المصادق عليه استغلال الثغرة الأمنية دون أن يتم خداعه لبدء الطلب. **التوصيات** قم بتحديث Splunk Enterprise إلى الإصدار 10.0.1 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.4.5 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.3.7 أو أحدث. قم بتحديث Splunk Enterprise إلى الإصدار 9.2.9 أو أحدث. قم بتحديث Splunk Cloud Platform إلى الإصدار 9.3.2411.116 أو أحدث. قم بتحديث Splunk Cloud Platform إلى

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Splunk Enterprise الأقدم من 9.4.3 إصدارات Splunk Enterprise الأقدم من 9.3.5 إصدارات Splunk Enterprise الأقدم من 9.2.7 إصدارات Splunk Enterprise الأقدم من 9.1.10 إصدارات Splunk Cloud Platform الأقدم من 9.3.2411.104 إصدارات Splunk Cloud Platform الأقدم من 9.3.2408.114 إصدارات Splunk Cloud Platform الأقدم من 9.2.2406.119 الوصف: تسمح هذه الثغرة لمهاجم غير معتمد بإرسال استعلام SPL مصمم خصيصًا يمكنه تغيير حالة العضوية في مجموعة Splunk Search Head Cluster (SHC) من خلال هجوم تزوير الطلبات بين المواقع (CSRF)، مما قد يؤدي إلى إزالة القائد أو أحد أعضاء SHC. تتطلب هذه الثغرة الأمنية أن يخدع المهاجم ضحية تتمتع بمستوى مسؤول عن طريق التصيد الاحتيالي، مما يدفعها إلى بدء طلب في متصفحها. التوصيات: بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.4.3، قم بالتحديث إلى الإصدار 9.4.3 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.3.5، قم بالتحديث إلى الإصدار 9.3.5 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.2.7، قم بالتحديث إلى الإصدار 9.2.7 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.1.10، قم بالتحديث إلى الإصدار 9.1.10 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.3.2411.104، قم بالتحديث إلى الإصدار 9.3.2411.104 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.3.2408.114، قم بالتحديث

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Splunk Enterprise الأقدم من 9.4.3 إصدارات Splunk Enterprise الأقدم من 9.3.5 إصدارات Splunk Enterprise الأقدم من 9.2.7 إصدارات Splunk Enterprise الأقدم من 9.1.10 الوصف: يمكن لمستخدم ذي امتيازات محدودة، لا يمتلك صلاحيات «admin» أو «power» في Splunk، تعطيل البحث المجدول «Bucket Copy Trigger» داخل تطبيق Splunk Archiver بسبب عدم وجود ضوابط وصول على عمليات البحث المحفوظة في هذا التطبيق. التوصيات: بالنسبة للإصدارات الأقدم من 9.4.3، قم بالتحديث إلى الإصدار 9.4.3 أو أحدث. بالنسبة للإصدارات الأقدم من 9.3.5، قم بالتحديث إلى الإصدار 9.3.5 أو أحدث. بالنسبة للإصدارات الأقدم من 9.2.7، قم بالتحديث إلى الإصدار 9.2.7 أو أحدث. بالنسبة للإصدارات الأقدم من 9.1.10، قم بالتحديث إلى الإصدار 9.1.10 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Splunk Enterprise الأقدم من 9.4.3 إصدارات Splunk Enterprise الأقدم من 9.3.5 إصدارات Splunk Enterprise الأقدم من 9.2.7 إصدارات Splunk Enterprise الأقدم من 9.1.10 إصدارات Splunk Cloud Platform الأقدم من 9.3.2411.104 إصدارات Splunk Cloud Platform الأقدم من 9.3.2408.113 إصدارات Splunk Cloud Platform الأقدم من 9.2.2406.119 الوصف: يمكن لمهاجم غير معتمد إرسال أمر بحث SPL مصمم خصيصًا قد يؤدي إلى إعادة تشغيل تدريجية في مجموعة رؤوس البحث (Search Head Cluster) من خلال هجوم تزوير الطلبات بين المواقع (CSRF)، مما قد يؤدي إلى حدوث رفض الخدمة (DoS). تتطلب هذه الثغرة الأمنية أن يخدع المهاجم ضحية تتمتع بمستوى مسؤول عن طريق التصيد الاحتيالي، مما يدفعها إلى بدء طلب في متصفحها. التوصيات: بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.4.3، قم بالتحديث إلى الإصدار 9.4.3 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.3.5، قم بالتحديث إلى الإصدار 9.3.5 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.2.7، قم بالتحديث إلى الإصدار 9.2.7 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.1.10، قم بالتحديث إلى الإصدار 9.1.10 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.3.2411.104، قم بالتحديث إلى الإصدار 9.3.2411.104 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.3.2408.113، قم بالتحديث إلى الإصدار 9.3.2408.113 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Splunk Enterprise الأقدم من 9.4.2 إصدارات Splunk Enterprise الأقدم من 9.3.5 إصدارات Splunk Enterprise الأقدم من 9.2.6 إصدارات Splunk Enterprise الأقدم من 9.1.9 إصدارات Splunk Cloud Platform الأقدم من 9.3.2411.103 إصدارات Splunk Cloud Platform الأقدم من 9.3.2408.112 إصدارات Splunk Cloud Platform الأقدم من 9.2.2406.119 الوصف: يمكن لمستخدم ذي امتيازات محدودة، لا يمتلك صلاحيات «admin» أو «power» في Splunk، ولكنه يتمتع بحق الوصول للقراءة فقط إلى تنبيه معين، أن يقوم بإلغاء هذا التنبيه عند تشغيله. التوصيات: بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.4.2، قم بالتحديث إلى الإصدار 9.4.2 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.3.5، قم بالتحديث إلى الإصدار 9.3.5 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.2.6، قم بالتحديث إلى الإصدار 9.2.6 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.1.9، قم بالتحديث إلى الإصدار 9.1.9 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.3.2411.103، قم بالتحديث إلى الإصدار 9.3.2411.103 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.3.2408.112، قم بالتحديث إلى الإصدار 9.3.2408.112 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.2.2406.119، قم بالتحديث إلى الإصدار 9.2.2406.119 أو أحدث.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 9.3.3 إصدارات Splunk Enterprise الأقدم من 9.2.5 إصدارات Splunk Enterprise الأقدم من 9.1.8 إصدارات Splunk Cloud Platform الأقدم من 9.2.2403.108 إصدارات Splunk Cloud Platform الأقدم من 9.1.2312.204 **الوصف** يمكن لمستخدم ذي امتيازات محدودة، لا يمتلك صلاحيات ”admin“ أو ”power“ في Splunk، تغيير حالة وضع الصيانة في App Key Value Store (KVStore) من خلال هجوم تزوير الطلبات بين المواقع (CSRF). **التوصيات** بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.3.3، قم بالتحديث إلى الإصدار 9.3.3 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.2.5، قم بالتحديث إلى الإصدار 9.2.5 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.1.8، قم بالتحديث إلى الإصدار 9.1.8 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.2.2403.108، قم بالتحديث إلى الإصدار 9.2.2403.108 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.1.2312.204، قم بالتحديث إلى الإصدار 9.1.2312.204 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 9.4.1 إصدارات Splunk Enterprise الأقدم من 9.3.3 إصدارات Splunk Enterprise الأقدم من 9.2.5 إصدارات Splunk Enterprise الأقدم من 9.1.8 إصدارات Splunk Cloud Platform الأقدم من 9.3.2408.107 إصدارات Splunk Cloud Platform الأقدم من 9.2.2406.111 إصدارات Splunk Cloud Platform الأقدم من 9.1.2308.214 **الوصف** يمكن لمستخدم ذي امتيازات منخفضة التحايل على إجراءات الحماية SPL الخاصة بالأوامر الخطرة في نقطة النهاية ”/services/streams/search“ من خلال المعلمة `q`، باستخدام أذونات مستخدم يتمتع بامتيازات أعلى. ويتطلب ذلك أن يخدع المهاجم الضحية عبر التصيد الاحتيالي، مما يدفعها إلى إرسال طلب عبر متصفحها. لا ينبغي أن يتمكن المستخدم المصادق عليه من استغلال هذه الثغرة بشكل تعسفي. **التوصيات** بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.4.1، قم بالتحديث إلى الإصدار 9.4.1 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.3.3، قم بالتحديث إلى الإصدار 9.3.3 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.2.5، قم بالتحديث إلى الإصدار 9.2.5 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.1.8، قم بالتحديث إلى الإصدار 9.1.8 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.3.2408.107، قم بالتحديث إلى الإصدار 9.3.2408.107 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.2.2406.111، قم بالتحديث إلى الإصدار 9.2.2406.111 أو أحدث. بالنسبة لـ

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 9.3.3 إصدارات Splunk Enterprise الأقدم من 9.2.5 إصدارات Splunk Enterprise الأقدم من 9.1.8 إصدارات Splunk Cloud Platform الأقدم من 9.3.2408.103 إصدارات Splunk Cloud Platform الأقدم من 9.2.2406.108 إصدارات Splunk Cloud Platform الأقدم من 9.2.2403.113 إصدارات Splunk Cloud Platform الأقدم من 9.1.2312.208 إصدارات Splunk Cloud Platform الأقدم من 9.1.2308.212 **الوصف** يمكن لمستخدم ذي امتيازات منخفضة التحايل على إجراءات الحماية الخاصة بلغة SPL للأوامر الخطرة في نقطة النهاية ”/app/search/search“ من خلال المعلمة `s` الخاصة بها، مما يتيح له تنفيذ بحث محفوظ يحتوي على أمر خطير باستخدام أذونات مستخدم ذي امتيازات أعلى. تتطلب هذه الثغرة الأمنية أن يقوم المهاجم بعملية تصيد احتيالي ضد الضحية، حيث يخدعها لبدء طلب في متصفحها. **التوصيات** بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.3.3، قم بالتحديث إلى الإصدار 9.3.3 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.2.5، قم بالتحديث إلى الإصدار 9.2.5 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.1.8، قم بالتحديث إلى الإصدار 9.1.8 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.3.2408.103، قم بالتحديث إلى الإصدار 9.3.2408.103 أو أحدث. بالنسبة لإصدارات Splunk Cloud Platform الأقدم من 9.2.2406.108، قم بالتحديث إلى الإصدار 9.2.2406.108 أو أحدث. بالنسبة لإصدارات Splunk C

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** إصدارات Splunk Enterprise الأقدم من 9.4.1 إصدارات Splunk Enterprise الأقدم من 9.3.3 إصدارات Splunk Enterprise الأقدم من 9.2.5 إصدارات Splunk Enterprise الأقدم من 9.1.8 إصدارات تطبيق Splunk Secure Gateway على منصة Splunk Cloud Platform الأقدم من 3.8.38 إصدارات تطبيق Splunk Secure Gateway على منصة Splunk Cloud Platform الأقدم من 3.7.23 **الوصف** تسمح هذه الثغرة الأمنية لمستخدم ذي امتيازات منخفضة، لا يمتلك صلاحيات «admin» أو «power» في Splunk، بالكشف المحتمل عن معلومات حساسة عند إجراء بحث باستخدام أذونات مستخدم يتمتع بامتيازات أعلى. ويتطلب ذلك أن يخدع المهاجم الضحية لبدء طلب في متصفحه، مما يشير إلى وجود عنصر تصيد احتيالي. ولا يمكن للمستخدم ذي الامتيازات المنخفضة استغلال هذه الثغرة كما يشاء. **التوصيات** بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.4.1، قم بالتحديث إلى الإصدار 9.4.1 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.3.3، قم بالتحديث إلى الإصدار 9.3.3 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.2.5، قم بالتحديث إلى الإصدار 9.2.5 أو أحدث. بالنسبة لإصدارات Splunk Enterprise الأقدم من 9.1.8، قم بالتحديث إلى الإصدار 9.1.8 أو أحدث. بالنسبة لإصدارات تطبيق Splunk Secure Gateway على منصة Splunk Cloud Platform الأقدم من 3.8.38، قم بالتحديث إلى الإصدار 3.8.38 أو أحدث. بالنسبة لإصدارات تطبيق Splunk Secure Gateway على منصة Splunk Cloud Platform التي

Name of the Vulnerable Software and Affected Versions: Splunk Enterprise versions prior to 9.3.2, 9.2.4, and 9.1.7 Splunk Secure Gateway app on Splunk Cloud Platform versions prior to 3.2.462, 3.7.18, and 3.8.5 Description: The issue is related to improper access control in the Splunk Secure Gateway App Key Value Store (KVstore) collections endpoints. This could allow a low-privileged user without the "admin" or "power" Splunk roles to see alert search query responses. The vulnerability may enable a remote attacker to gain unauthorized access to protected information due to insufficient protection of service data resulting from improper access control to the KV Store. Recommendations: For Splunk Enterprise versions prior to 9.3.2, 9.2.4, and 9.1.7, update to version 9.3.2, 9.2.4, or 9.1.7 or later. For Splunk Secure Gateway app on Splunk Cloud Platform versions prior to 3.2.462, 3.7.18, and 3.8.5, update to version 3.2.462, 3.7.18, or 3.8.5 or later. As a temporary workaround, consider restricting access to the KV Store collections endpoints until a patch is available.

**Name of the Vulnerable Software and Affected Versions** Splunk Enterprise versions prior to 9.3.1 Splunk Enterprise version 9.2.0 through 9.2.3 Splunk Cloud Platform versions prior to 9.2.2403.103 Splunk Cloud Platform versions 9.1.2312.200 through 9.1.2312.110 Splunk Cloud Platform version 9.1.2308.208 **Description** The issue is related to authorization procedure flaws in Splunk Enterprise, which could allow a low-privileged user without the "admin" or "power" Splunk roles to run a search as the "nobody" Splunk user in the SplunkDeploymentServerConfig app. This could let the low-privileged user access potentially restricted data. **Recommendations** For Splunk Enterprise versions prior to 9.3.1, update to version 9.3.1 or later. For Splunk Enterprise version 9.2.0 through 9.2.3, update to version 9.2.3 or later. For Splunk Cloud Platform versions prior to 9.2.2403.103, update to version 9.2.2403.103 or later. For Splunk Cloud Platform versions 9.1.2312.200 through 9.1.2312.110, update to a version outside of this range or later. For Splunk Cloud Platform version 9.1.2308.208, update to a version later than 9.1.2308.208. As a temporary workaround, consider restricting access to the SplunkDeploymentServerConfig app to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Splunk Enterprise versions prior to 9.3.1 Splunk Enterprise versions prior to 9.2.3 Splunk Enterprise versions prior to 9.1.6 Splunk Cloud Platform versions prior to 9.2.2403.108 Splunk Cloud Platform versions prior to 9.1.2312.204 **Description** The issue is related to a Cross-Site Request Forgery (CSRF) vulnerability in the Splunk Web component of Splunk Enterprise. This vulnerability can be exploited by a low-privileged user who does not hold the "admin" or "power" Splunk roles, allowing them to change the maintenance mode state of App Key Value Store (KVStore). The exploitation can be done through a specially crafted web page. **Recommendations** For Splunk Enterprise versions prior to 9.3.1, update to version 9.3.1 or later. For Splunk Enterprise versions prior to 9.2.3, update to version 9.2.3 or later. For Splunk Enterprise versions prior to 9.1.6, update to version 9.1.6 or later. For Splunk Cloud Platform versions prior to 9.2.2403.108, update to version 9.2.2403.108 or later. For Splunk Cloud Platform versions prior to 9.1.2312.204, update to version 9.1.2312.204 or later. As a temporary workaround, consider restricting access to the KVStore maintenance mode to minimize the risk of exploitation.

Name of the Vulnerable Software and Affected Versions: Splunk Enterprise versions 9.1.6, 9.2.3, and 9.3.0 Description: A low-privileged user without the "admin" or "power" Splunk roles could view images on the machine that runs Splunk Enterprise by using the PDF export feature in Splunk classic dashboards. The images on the machine could be exposed by exporting the dashboard as a PDF, using the local image path in the `img` tag in the source extensible markup language (XML) code for the Splunk classic dashboard. This issue is related to insufficient access control in the PDF export feature. Recommendations: For version 9.1.6, upgrade to a newer version to mitigate the risk. For version 9.2.3, upgrade to a newer version to mitigate the risk. For version 9.3.0, upgrade to a newer version to mitigate the risk. As a temporary workaround, consider restricting access to the PDF export feature in Splunk classic dashboards until a patch is available.

Name of the Vulnerable Software and Affected Versions: Splunk Enterprise versions prior to 9.2.2 Splunk Enterprise versions prior to 9.1.5 Splunk Enterprise versions prior to 9.0.10 Splunk Cloud Platform versions prior to 9.2.2403.100 Description: The issue is related to the datamodel/web REST endpoint in Splunk Enterprise, where an authenticated, low-privileged user could send a specially crafted HTTP POST request, potentially causing a denial of service. This is due to the execution of a loop with an unavailable exit condition. The exploitation of this issue allows a remote attacker to cause a denial of service using a specially crafted HTTP request. Recommendations: For Splunk Enterprise versions prior to 9.2.2, update to version 9.2.2 or later. For Splunk Enterprise versions prior to 9.1.5, update to version 9.1.5 or later. For Splunk Enterprise versions prior to 9.0.10, update to version 9.0.10 or later. For Splunk Cloud Platform versions prior to 9.2.2403.100, update to version 9.2.2403.100 or later. As a temporary workaround, consider restricting access to the "datamodel/web" REST endpoint until a patch is available.