CVE-2026-76357
Beschreibung
In Splunk SOAR-Versionen unter 8.6.0 kann ein authentifizierter Benutzer ohne zugewiesene Rolle einen gestalteten Dateipfad an die Representational State Transfer (REST)-API senden und willkürlichen Code ausführen. Die Sicherheitsanfälligkeit ist möglich, da die REST-API keine zugewiesene Rolle für die Anforderung benötigt und den vom Benutzer bereitgestellten Dateipfad nicht auf das vorgesehene temporäre Verzeichnis beschränkt. Weitere Informationen finden Sie unter Verwalten von Rollen und Berechtigungen in Splunk SOAR (On-Premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises//8.5.0/manage-your-splunk-soar-on-premises-users-and-accounts/manage-roles-and-permissions-in-splunk-soar-on-premises) und Splunk SOAR (On-Premises) Sicherheitsinformationen (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/administer-soar-on-premises/introduction-to-splunk-soar-on-premises/splunk-soar-on-premises/introduction-to-splunk-on-premises/splunk-soar-on-.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 8.6.0.
Empfohlene Schritte
- Betroffene Systeme identifizieren: splunk Soar.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.