CVE-2026-76356
Beschreibung
In den Splunk SOAR-Versionen unter 8.6.0 kann ein nicht authentifizierter Benutzer die Quell-IP-Adresse in einer erstellten Anfrage an einen Automation Broker-Benachrichtigungsendpunkt fälschen und willkürlichen Code auf dem Splunk SOAR-Host ausführen. Die Sicherheitsanfälligkeit ist möglich, da der Splunk SOAR Automation Broker einem vom Kunden bereitgestellten Quell-IP-Adresskopf als Nachweis dafür vertraut, dass die Anforderung vom lokalen System stammt. Eine erfolgreiche Nutzung kann alle relevanten Daten offenlegen, die Systemintegrität beeinträchtigen und die Verfügbarkeit von Diensten stören. Weitere Informationen finden Sie unter Über Splunk SOAR Automation Broker (https://help.splunk.com/en/splunk-soar/splunk-automation-broker/about-splunk-soar-automation-broker/about-splunk-soar-automation-broker) in der Splunk-Dokumentation.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 8.6.0.
Empfohlene Schritte
- Betroffene Systeme identifizieren: splunk Soar.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.