CVE-2026-76313

Beschreibung

In den Splunk Enterprise-Versionen unter 10.4.2, 10.2.6, 10.0.9 und 9.4.14 kann ein Benutzer, der nicht über die "Admin"- oder "Power"-Splunk-Rollen verfügt, Remote Code Execution (RCE) durchführen, indem er ein böswilliges Wissenspaket hochlädt und es durch verteilte Suche verwendet, was den Zugriff auf alle relevanten Daten ermöglichen und die Systemintegrität und -verfügbarkeit beeinträchtigen kann. Die Sicherheitsanfälligkeit ist möglich, da der REST-API-Endpunkt (Representational State Transfer) für den Upload von Wissenspaketen nicht die hochprivilegierte Fähigkeit edit dist peer erfordert und die verteilte Suche von Anrufern bereitgestellte Wissenspaketauswahlen von Benutzern akzeptiert, die diese Fähigkeit nicht besitzen. Weitere Informationen finden Sie unter Welche Suchköpfe an Suchkollegen senden (https://help.splunk.com/en/splunk-enterprise/administer/distributed-search/9.2/knowledge-bundle-replication/what-search-heads-send-to-search-peers), Zur Konfiguration des rollenbasierten Benutzerzugriffs (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/9.0/manage-splunk-plattform-users-and-roles/about-configuring-role-based-user-access), Definition der Rollen auf der Splunk-Plattform mit Funktionen (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/9.1/manage-splunk-plattform-users-and-roles/define-roles-on-the-splunk-plattform-with-capabilities) und Verwendung der REST-API-Referenz (https://help.splunk.com/en/splunk-enterprise/rest-api-reference/10.4/introduction/using-the-rest-api-reference) in der Splunk-Dokumentation.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 9.4.14, 10.0.9, 10.2.6, 10.4.2.

Empfohlene Schritte

• Betroffene Systeme identifizieren: splunk splunk.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.