CVE-2026-76255

Beschreibung

In den Splunk Enterprise-Versionen unter 10.4.1, 10.2.6, 10.0.8 und 9.4.13 kann ein Benutzer, der die Splunk-Rollen "Admin" oder "Power" nicht besitzt, einen anderen Benutzer dazu verleiten, willkürliche Befehle für die Suchverarbeitungssprache (SPL) über den Datenmodell-Editor mit den Berechtigungen des betroffenen Benutzers auszuführen. Die Befehle könnten auf alle relevanten Daten zugreifen, die dem betroffenen Benutzer zur Verfügung stehen, und die Systemintegrität beeinträchtigen. Die Sicherheitsanfälligkeit ist möglich, da Splunk Web keine SPL-Sicherheitsvorkehrungen für riskante Befehle anwendet, wenn der Data Model Editor die Basissuche nach automatisch extrahierten Feldern ausführt. Die Sicherheitsanfälligkeit erfordert, dass der Angreifer den betroffenen Benutzer phisht, indem er ihn dazu bringt, eine Anfrage in seinem Browser zu initiieren. Der Benutzer, der die Splunk-Rollen "Admin" oder "Power" nicht innehat, sollte die Schwachstelle nicht nach Belieben ausnutzen können. Weitere Informationen finden Sie unter SPL-Sicherheitsmaßnahmen für risikobehaftete Befehle (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/best-practices-for-splunk-platform-security/splunk-safeguards-for-risky-commands) und Rollen auf der Splunk-Plattform mit Fähigkeiten definieren (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-plattform-users-and-roles/define-roles-on-the-splunk-plattform-with-capabilities) in der Splunk-Dokumentation.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 9.4.13, 10.0.8, 10.2.6.

Empfohlene Schritte

• Betroffene Systeme identifizieren: splunk splunk.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.