CVE-2026-76253
Beschreibung
In den Splunk Enterprise-Versionen unter 10.4.2, 10.2.6, 10.0.9 und 9.4.14 kann ein Benutzer, der eine Rolle mit der schedule search-Funktion innehat, beliebige Befehle der Search Processing Language (SPL) mit den höchsten Systemprivilegien ausführen und alle im Credential-Speicher gespeicherten Anmeldeinformationen lesen, was die Offenlegung und Änderung aller relevanten Daten ermöglichen und die Systemintegrität und -verfügbarkeit beeinflussen kann. Die Sicherheitsanfälligkeit ist möglich, da die Konfiguration der geplanten Suchalarmaktion die benutzerspezifischen Alarmaktionseinstellungen nicht ordnungsgemäß einschränkt, bevor der Suchplaner Alarmaktionen ausführt. Weitere Informationen finden Sie unter Erstellen von Warnmeldungen (https://help.splunk.com/en/splunk-enterprise/alert-and-respond/alerting-manual/9.3/create-alerts/create-scheduled-alerts), Einrichten von Warnmeldungen (https://help.splunk.com/en/splunk-enterprise/alert-and-respond/alerting-manual/9.3/configure-alert-actions/set-up-alert-actions), Definieren Sie Rollen auf der Splunk-Plattform mit Funktionen (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-plattform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) und Konfigurationsdateipriorität (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.2/administer-splunk-enterprise-with-configuration-files/configuration-file-precedence) in der Splunk-Dokumentation.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 9.4.14, 10.0.9, 10.2.6, 10.4.2.
Empfohlene Schritte
- Betroffene Systeme identifizieren: splunk splunk.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.