CVE-2026-76345

Beschreibung

In Splunk Enterprise-Versionen unter 10.4.2 kann ein Benutzer mit einer hochprivilegierten Splunk-Rolle, die das Suchkopf-Clustering verwalten kann, das Suchkopf-Cluster-Mitgliedsbündel Representational State Transfer (REST)-API verwenden, um Dateien an Orte zu schreiben, an die das Benutzerkonto mit Splunk Enterprise schreiben kann, was die Ausführung von Remotecode ermöglichen könnte. Eine erfolgreiche Nutzung könnte den Zugang zu allen relevanten Daten ermöglichen und die Integrität und Verfügbarkeit der Splunk-Bereitstellung beeinträchtigen. Die Sicherheitsanfälligkeit betrifft nicht die Splunk Enterprise-Versionen unter 10.4. Die Sicherheitsanfälligkeit ist möglich, da die REST-API des Suchkopf-Clustermitgliedsbündels die erwartete Autorisierungsgrenze nicht durchsetzt und keine Bündelpfade validiert, bevor sie Bündelinhalte akzeptiert. Weitere Informationen finden Sie unter Verwendung der REST-API-Referenz (https://help.splunk.com/en/splunk-enterprise/rest-api-reference/10.2/introduction/using-the-rest-api-reference). Über die Konfiguration des rollenbasierten Benutzerzugriffs (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-plattform-users-and-roles/about-configuring-role-based-user-access) und Über die verteilte Suche (https://help.splunk.com/en/splunk-enterprise/administer/distributed-search/9.4/overview-of-distributed-search/about-distributed-search) in der Splunk-Dokumentation.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 10.4.2.

Empfohlene Schritte

• Betroffene Systeme identifizieren: splunk Splunk.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.