CVE-2026-76354

Beschreibung

In den Splunk Enterprise-Versionen unter 10.4.2, 10.2.6, 10.0.9 und 9.4.14 kann ein Benutzer, der nicht über die "Admin"- oder "Power"-Splunk-Rollen verfügt, die Systemintegrität und -verfügbarkeit beeinträchtigen, indem er eine erstellte REST-API-Anfrage (Representational State Transfer) sendet, die Dateien löscht oder vorübergehend überschreibt, die von dem Benutzerkonto mit Splunk Enterprise-Prozessen auf einem Nicht-Kapitän-Suchkopf-Clustermitglied geschrieben werden können. Die Sicherheitsanfälligkeit ist möglich, da die Replikation des Search Head Clustering-Bundles den Namen einer replizierten Bundle-Datei nicht validiert oder NUL-Bytes neutralisiert, bevor der Mitglieds-Bundle-Pfad erstellt wird. Weitere Informationen finden Sie unter Über Search Head Clustering (https://help.splunk.com/en/splunk-enterprise/administer/distributed-search/10.4/overview-of-search-head-clustering/about-search-head-clustering), Definieren Sie Rollen auf der Splunk-Plattform mit Funktionen (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-plattform-with-capabilities) und Secure Splunk Enterprise service accounts (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/9.0/install-splunk-enterprise-securely/secure-splunk-enterprise-service-accounts) in der Splunk-Dokumentation.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 9.4.14, 10.0.9, 10.2.6, 10.4.2.

Empfohlene Schritte

• Betroffene Systeme identifizieren: splunk Splunk.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.