CVE-2026-76402

Beschreibung

In Splunk Connect für Kafka-Versionen unter 2.2.7 könnte ein nicht authentifizierter Benutzer, der die Kafka Connect Representational State Transfer (REST)-API erreichen kann, einen nicht sicheren Hypertext Transfer Protocol (HTTP) Event Collector-Endpunkt in Splunk Enterprise konfigurieren, der den Connector veranlasst, Authentifizierungsanmeldeinformationen an einen von Angreifern kontrollierten Server zu senden, was die Offenlegung von Anmeldeinformationen ermöglicht, die alle relevanten Daten, die über den Connector gesendet werden, beeinträchtigen und begrenzte Änderungen der Ereignisbereitstellung. Die Sicherheitsanfälligkeit ist möglich, da die HTTP Event Collector-Endpunktvalidierung standardmäßig keinen sicheren Transport erfordert. Weitere Informationen finden Sie unter Installieren von Splunk Connect für Kafka (https://help.splunk.com/en/data-management/integrate-data-with-add-ons/splunk-connect-for-kafka/2.2/install/install-splunk-connect-for-kafka), Dateneinnahmeparameter für Splunk Connect für Kafka (https://help.splunk.com/en/data-management/integrate-data-with-add-ons/splunk-connect-for-kafka) und Einrichten und Verwenden von HTTP Event Collector mit Konfigurationsdateien (https://help.splunk.com/en/splunk-enterprise/get-data-in/get-started-with-getting-data-in/9.4/get-data-with-http-event-collector/set-up-and-use-http-event-collector-with-configuration-files) in der Splunk-Dokumentation.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 2.2.7.

Empfohlene Schritte

• Betroffene Systeme identifizieren: splunk Connect For Kafka.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.