CVE-2026-76259
Beschreibung
In Splunk Enterprise für Windows-Versionen unter 10.4.2, 10.2.6, 10.0.9, 9.4.13 und 9.3.14 kann ein lokaler Benutzer mit Zugriff auf den Windows-Host vor dem Start von Splunk Enterprise an den Verwaltungsanschluss binden, Authentifizierungstoken aus untergeordneten Prozessen abfangen und diese Token verwenden, um alle relevanten Daten und Systemintegrität zu kompromittieren, die für das Benutzerkonto mit Splunk Enterprise verfügbar sind. Die Sicherheitsanfälligkeit ist möglich, da der Windows-Management-Port-Hörer vor dem Start des Dienstes keine exklusiven Adressbindungsschutzmaßnahmen anwendet.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 9.3.14, 9.4.13, 10.0.9, 10.2.6, 10.4.2.
Empfohlene Schritte
- Betroffene Systeme identifizieren: splunk splunk.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.