CVE-2026-76360
Beschreibung
In Splunk SOAR-Versionen unter 8.6.0 kann ein authentifizierter Benutzer ohne zugewiesene Rolle den /rest/health-Endpunkt verwenden, um System- und Clustertelemetrie zu erfassen, die auf administrative oder unterstützende Benutzer beschränkt sein sollten. Bei der Sicherheitsanfälligkeit handelt es sich um eine fehlende Autorisierungsprüfung, bei der der Endpunkt nicht überprüft, ob der Anrufer eine Rolle innehat, die es erlaubt, den Systemzustand und den Clusterzustand anzuzeigen. Weitere Informationen finden Sie unter Verwalten von Rollen und Berechtigungen in Splunk SOAR (On-Premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises//8.5.0/manage-your-splunk-soar-on-premises-users-and-accounts/manage-roles-and-permissions-in-splunk-soar-on-premises) und Überwachen Sie den Zustand Ihres Splunk-SOAR (On-Premises-System) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/administer-soar-on-premises-system-health-and-performance/monitor-the-health-of-your-splunk-soar-on-premises-Systems) in der Splunk-Dokumentation.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 8.6.0.
Empfohlene Schritte
- Betroffene Systeme identifizieren: splunk Soar.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.