CVE-2026-76361
Beschreibung
In Splunk SOAR-Versionen unter 8.6.0 kann ein Benutzer mit der Rolle "Administrator" den Endpunkt /rest/support/connectivity/.../check connectivity verwenden, um Splunk SOAR dazu zu bringen, ausgehende Netzwerkverbindungen zu beliebigen Zielen zu initiieren und festzustellen, ob interne Hosts und Ports erreichbar sind. Die Server-Side Request Forgery (SSRF) ist möglich, da die Konnektivitätsprüfung REST API das Ziel nicht ausreichend validiert, bevor sich Splunk SOAR mit ihm verbindet. Weitere Informationen finden Sie unter Verwalten von Rollen und Berechtigungen in Splunk SOAR (On-premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/8.5.0/manage-your-splunk-soar-on-premises-users-and-accounts/manage-roles-and-permissions-in-splunk-soar-on-premises) in der Splunk-Dokumentation.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 8.6.0.
Empfohlene Schritte
- Betroffene Systeme identifizieren: splunk Soar.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.