CVE-2026-76335
Beschreibung
In den Splunk Enterprise-Versionen unter 10.4.2, 10.2.6, 10.0.9 und 9.4.14 kann ein authentifizierter Benutzer, der keine Rolle mit der Funktion edit manager xml innehat, eine bösartige XML-Konfiguration (Extensible Markup Language) des Splunk Web Managers schreiben. Wenn derselbe Benutzer die betroffene Splunk Web Manager-Seite öffnet, führt Splunk Enterprise angreifergesteuerte Betriebssystembefehle als Benutzerkonto aus, auf dem Splunk Enterprise ausgeführt wird. Die Sicherheitsanfälligkeit ist möglich, da für Splunk Web die Funktion edit manager xml nicht erforderlich ist, bevor die XML-Konfigurationsänderungen für Splunk Web Manager akzeptiert werden.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 9.4.14, 10.0.9, 10.2.6, 10.4.2.
Empfohlene Schritte
- Betroffene Systeme identifizieren: splunk Splunk.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.