Enterprise

In Splunk Enterprise fehlt an einem Endpunkt des PostgreSQL-Sidecar-Dienstes jede Authentifizierungsprüfung. Dadurch kann jeder, der den Dienst über das Netzwerk erreicht, Dateioperationen anstoßen, ohne Zugangsdaten vorweisen zu müssen. Konkret lassen sich beliebige Dateien neu anlegen oder bestehende Dateien auf Länge null kürzen, also deren Inhalt vernichten. Das gefährdet vor allem die Integrität und Verfügbarkeit des Systems: Wichtige Konfigurations- oder Protokolldateien können unbrauchbar gemacht, Spuren verwischt oder eigene Dateien an von Angreifern gewählten Orten im Dateisystem platziert werden. Der Angriff erfordert weder eine Anmeldung noch eine Benutzerinteraktion. Betroffen sind neuere Ausgaben von Splunk Enterprise, in denen der PostgreSQL-Sidecar-Dienst enthalten ist; ältere Produktlinien weisen diese Komponente nicht auf und sind daher nicht betroffen. Wo ein Update nicht sofort möglich ist, lässt sich das Risiko durch Abschalten des PostgreSQL-Sidecar-Dienstes entschärfen.