CVE-2026-76339
Beschreibung
In den Splunk Enterprise-Versionen unter 10.4.2, 10.2.6, 10.0.9 und 9.4.14 kann ein Benutzer, der nicht über die Splunk-Rollen "Admin" oder "Power" verfügt, beliebige Befehle für die Suchverarbeitungssprache (SPL) über den Befehl Geostats einfügen. Die injizierte SPL wird mit den Berechtigungen eines anderen authentifizierten Benutzers ausgeführt, nachdem dieser Benutzer die von Angreifern gesteuerte Geostatsuche im Splunk Web initiiert hat. Die injizierte SPL könnte alle relevanten Daten offenlegen, die dem zweiten Benutzer zur Verfügung stehen, einschließlich gespeicherter Anmeldeinformationen, und Lookup-Dateien ändern, die der zweite Benutzer ändern darf. Die Sicherheitsanfälligkeit ist möglich, da der Geostats-Befehl die Eingabe nicht ausreichend validiert, bevor Splunk Enterprise sie verarbeitet. Die Sicherheitsanfälligkeit erfordert, dass der Angreifer den betroffenen Benutzer phisht, indem er ihn dazu bringt, eine Anfrage in seinem Browser zu initiieren. Der Benutzer, der die Splunk-Rollen "Admin" oder "Power" nicht innehat, sollte die Schwachstelle nicht nach Belieben ausnutzen können. Weitere Informationen finden Sie unter Geostats (https://help.splunk.com/en/splunk-enterprise/spl-search-reference/10.0/search-commands/geostats) in der Splunk-Dokumentation.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 9.4.14, 10.0.9, 10.2.6, 10.4.2.
Empfohlene Schritte
- Betroffene Systeme identifizieren: splunk Splunk.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.