CVE-2026-76251

Beschreibung

In den Splunk Enterprise-Versionen unter 10.4.2, 10.2.6 und 10.0.9 kann ein Benutzer, der nicht über die Splunk-Rollen "Admin" oder "Power" verfügt, veranlassen, dass die Splunk App für die Splunk Observability Cloud Anfragen an die Splunk Observability Cloud weiterleitet, einschließlich des für die App gespeicherten Splunk Observability Cloud-Zugriffstokens. Mit diesem Zugriff konnte der Benutzer alle relevanten Daten anzeigen, die diesem Token zur Verfügung standen, und begrenzte Änderungen an den Inhalten der Splunk Observability Cloud vornehmen. Die Sicherheitsanfälligkeit betrifft nicht die Versionen Splunk Enterprise 9.4 und 9.3. Die Sicherheitsanfälligkeit ist möglich, da die Representational State Transfer (REST) API-Endpunkthandler der App die Fähigkeit read o11y content nicht durchsetzen, bevor sie Anfragen mit dem gespeicherten Zugriffstoken weiterleiten. Weitere Informationen finden Sie unter Definieren von Rollen auf der Splunk-Plattform mit Funktionen (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-plattform-with-capabilities) in der Splunk-Dokumentation.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 10.0.9, 10.2.6, 10.4.2.

Empfohlene Schritte

• Betroffene Systeme identifizieren: splunk splunk.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.