Alex Hordijk

Usuários sem as funções de admin ou power podem criar ou editar definições de lookup scriptadas por meio de endpoints de configuração bruta. Isso ocorre porque os caminhos de gravação de configuração de transformações brutas não aplicam verificações de capacidade de lookup externo antes de salvar as configurações de lookup scriptadas.

Um usuário não autenticado pode criar ou truncar arquivos arbitrários por meio de um endpoint do serviço sidecar do PostgreSQL. Isso ocorre porque o endpoint carece de controles de autenticação, permitindo que qualquer usuário acessível pela rede invoque operações de arquivo sem credenciais. Essa falha pode ser explorada para alcançar a execução remota de código pré-autenticação com privilégios de nível Splunk. Aproximadamente 1.400 instâncias do software estão expostas na internet, principalmente na América do Norte e Europa, e houve relatos de exploração limitada em ataques reais.

Um usuário com baixos privilégios que não possua as funções 'admin' ou 'power' pode causar uma Negação de Serviço (Denial of Service) ao explorar o script `coldToFrozen.sh` no aplicativo `splunk archiver`. O problema ocorre devido à falta de validação de entrada no script `coldToFrozen.sh`, que aceita caminhos de arquivos arbitrários e os renomeia sem restringir as operações a diretórios seguros, tornando a instância não funcional.

A user with limited privileges, lacking the 'admin' or 'power' Splunk roles, can access the `/splunkd/ raw/servicesNS/-/-/configs/conf-passwords` API endpoint. This endpoint exposes hashed or plaintext password values stored in the `passwords.conf` configuration file due to insufficient access controls. This could lead to the unauthorized disclosure of sensitive credentials.

Um atacante não autenticado poderia acionar uma falsificação de solicitação do lado do servidor (SSRF) cega. Isso poderia permitir que um atacante realizasse chamadas de API REST em nome de um usuário autenticado com altos privilégios. A falsificação de solicitação do lado do servidor (SSRF) é uma vulnerabilidade de segurança web que permite que um atacante induza a aplicação do lado do servidor a fazer requisições HTTP para um domínio arbitrário de escolha do atacante.

Um usuário com privilégios limitados que não possui as funções "admin" ou "power" do Splunk poderia realizar uma Execução Remota de Código (RCE) através do upload de um arquivo para o diretório "$SPLUNK HOME/var/run/splunk/apptemp" devido à falta de verificações de autorização. Este problema permite que atacantes executem código arbitrário fazendo upload de arquivos maliciosos. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível. Não há informações sobre incidentes reais onde este problema foi explorado.

Nome do software vulnerável e versões afetadas: PAN-OS (versões afetadas não especificadas) Descrição: Uma vulnerabilidade de injeção cega de Entidades Externas XML (XXE) no software PAN-OS da Palo Alto Networks permite que um invasor autenticado extraia arquivos arbitrários dos firewalls para um servidor controlado por ele. Esse ataque requer acesso de rede à interface de gerenciamento do firewall. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Nome do software vulnerável e versões afetadas: Versões do Splunk Enterprise para Windows anteriores à 9.3.1 Versões do Splunk Enterprise para Windows anteriores à 9.2.3 Versões do Splunk Enterprise para Windows anteriores à 9.1.6 Descrição: O problema está relacionado à restrição incorreta do nome do caminho do diretório com acesso limitado. Um usuário com privilégios reduzidos que não possua as funções “admin” ou “power” do Splunk poderia gravar um arquivo no diretório raiz do sistema Windows, que tem uma localização padrão na pasta System32 do Windows, quando o Splunk Enterprise para Windows estiver instalado em uma unidade separada. Isso poderia potencialmente levar à gravação arbitrária de arquivos e à execução remota de código. Recomendações: Para versões anteriores à 9.3.1, atualize para a versão 9.3.1 ou posterior. Para versões anteriores à 9.2.3, atualize para a versão 9.2.3 ou posterior. Para versões anteriores à 9.1.6, atualize para a versão 9.1.6 ou posterior.

O problema está relacionado à configuração insegura do armazenamento de sessões no Splunk Enterprise para Windows, permitindo que um usuário com privilégios limitados, sem as funções “admin” ou “power” do Splunk, execute código remotamente (RCE). Isso se deve a deficiências no mecanismo de desserialização do componente Splunk Web.

Um usuário com privilégios limitados, que não possua as funções de administrador ou de poder no Splunk, pode causar uma execução remota de código por meio de uma consulta externa que faça referência ao aplicativo `splunk archiver`. Essa vulnerabilidade permite a execução remota de código, podendo levar a brechas de segurança significativas.

The issue is related to the improper sanitization of extensible stylesheet language transformations (XSLT) supplied by users in Splunk Enterprise. This allows an attacker to upload malicious XSLT, potentially resulting in remote code execution on the Splunk Enterprise instance. There are over 120,000 publicly exposed Splunk instances, making them vulnerable to this issue.

A file disclosure issue in the software enables an authenticated read-write administrator with access to the web interface to export local files from the firewall through a race condition.

O problema decorre da validação insuficiente de entradas, combinada com a ausência de verificação de autorização na API da interface do usuário (UI), permitindo a injeção de comandos do sistema operacional sem autenticação por meio do argumento `ping host`. Isso se deve a vulnerabilidades nos arquivos `lib/ui/api.ts` e `lib/ping.ts`.