CVE-2026-76317
Beschreibung
In den Splunk Enterprise-Versionen unter 10.4.2, 10.2.6, 10.0.9 und 9.4.14 kann ein Benutzer, der nicht über die Splunk-Rollen "Admin" oder "Power" verfügt, Dateien verschieben, die das Benutzerkonto mit Splunk Enterprise in einen Lookup einlesen kann, den der Benutzer steuert. Der Benutzer könnte dann auf alle relevanten Daten zugreifen und die Systemintegrität und -verfügbarkeit im Suchkopf beeinflussen. Die Sicherheitsanfälligkeit ist möglich, da der Lookup-Konfigurationsendpunkt keine Lookup-Quellpfade auflöst, bevor überprüft wird, ob sie innerhalb des zulässigen Lookup-Staging-Bereichs bleiben. Weitere Informationen finden Sie unter Über Lookups (https://help.splunk.com/en/splunk-enterprise/manage-knowledge-objects/knowledge-management-manual/10.4/use-lookups-in-splunk-web/about-lookups) und Rollen auf der Splunk-Plattform mit Fähigkeiten definieren (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-plattform-users-and-roles/define-roles-on-the-splunk-plattform-with-capabilities) in der Splunk-Dokumentation.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 9.4.14, 10.0.9, 10.2.6, 10.4.2.
Empfohlene Schritte
- Betroffene Systeme identifizieren: splunk splunk.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.