CVE-2026-76345
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W Splunk Enterprise poniżej 10.4.2, użytkownik z wysokimi uprawnieniami zarządzający klastrem search head może użyć API REST do zapisu plików w lokalizacjach zapisywalnych przez konto Splunk, co może umożliwić zdalne wykonanie kodu. Podatność wynika z braku egzekwowania granic autoryzacji i braku walidacji ścieżek bundle.
Ocena ryzyka
Ryzyko obejmuje zdalne wykonanie kodu, co może prowadzić do pełnej kompromitacji danych oraz naruszenia integralności i dostępności wdrożenia Splunk.
Rekomendacja
Zaleca się aktualizację Splunk Enterprise do wersji 10.4.2 lub nowszej oraz ograniczenie uprawnień użytkowników z wysokimi rolami. Należy monitorować aktywność API REST.
Inne podatności w Splunk Enterprise
Zobacz wszystkie- CVE-2026-76285Krytyczne
Splunk Enterprise w wersjach 10.4.3, 10.2.7, 10.0.10 i 9.4.15 zawiera podatność związaną z nieprzestrzeganiem standardów kodowania. Podatność została zidentyfikowana wewnętrznie i zaadresowana w wymienionych wersjach.
- CVE-2026-76284Krytyczne
Splunk Enterprise w wersjach 10.4.3, 10.2.7, 10.0.10 i 9.4.15 zawiera podatność związaną z nieprawidłową neutralizacją danych wejściowych. Podatność została zidentyfikowana wewnętrznie i zaadresowana w wymienionych wersjach.
- CVE-2026-76268Krytyczne
Podatność w Splunk Enterprise przed wersjami 10.4.3 i 10.2.7 pozwala nieuwierzytelnionemu użytkownikowi z dostępem sieciowym do API REST Patroni na członku klastra wyszukiwania na wykonanie poleceń systemu operacyjnego. Interfejs nie wymaga uwierzytelnienia dla krytycznych operacji konfiguracyjnych.
- CVE-2026-76312Krytyczne
W Splunk Enterprise w wersjach poniżej 10.4.1, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik, który może odczytać źródło HTML strony osadzającej raport Splunk, może wykorzystać ujawnione materiały sesji do uzyskania dostępu do wszystkich istotnych danych i wpłynąć na integralność systemu. Podatność wynika z nieprawidłowego egzekwowania granic autoryzacji dla osadzonych raportów w ścieżce pobierania archiwum dispatch oraz z uwzględniania wrażliwych materiałów sesji w zarchiwizowanych danych zadań wyszukiwania.
- CVE-2026-76311Krytyczne
W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik posiadający token osadzonego raportu może pobrać archiwum dispatch dla zadania wyszukiwania osadzonego raportu i wykorzystać ujawnione materiały sesji do uzyskania dostępu do wszystkich istotnych danych oraz wpłynąć na integralność systemu na instancji Splunk. Podatność wynika z tego, że przepływ autoryzacji osadzonych raportów nie blokuje żądań pobrania archiwum dispatch przed rozpoczęciem wysyłania archiwum do żądającego.
- CVE-2026-76310Krytyczne
W Splunk Enterprise w wersjach poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14 nieuwierzytelniony użytkownik posiadający token osadzonego raportu może pobrać powiązane archiwum dispatch zadania wyszukiwania, odzyskać materiały sesji i użyć ich do uzyskania dostępu do wszystkich istotnych danych dostępnych właścicielowi raportu oraz wpłynąć na integralność systemu, w tym wykonywać działania administracyjne, gdy właściciel ma rolę "admin" Splunk. Podatność wynika z tego, że dostęp do osadzonych raportów nie blokuje żądań pobrania archiwum dispatch przez API REST.
- CVE-2026-20253KrytyczneAktywnie exploitowane
W Splunk Enterprise 10.2 przed 10.2.4 i 10.x przed 10.0.7, nieuwierzytelniony użytkownik może tworzyć lub obcinać dowolne pliki przez endpoint usługi PostgreSQL sidecar. Brak kontroli dostępu w tym endpointcie.
- CVE-2026-76283Wysokie
Splunk Enterprise w wersjach 10.4.3, 10.2.7, 10.0.10 i 9.4.15 zawiera podatność związaną z awarią mechanizmu ochrony. Podatność została zidentyfikowana wewnętrznie i zaadresowana w wymienionych wersjach.
- CVE-2026-76282Wysokie
Splunk Enterprise w wersjach 10.4.3, 10.2.7, 10.0.10 i 9.4.15 zawiera podatność związaną z nieprawidłową kontrolą zasobów przez cały ich cykl życia. Luka została wykryta wewnętrznie i pogrupowana według CWE.
- CVE-2026-76281Średnie
Splunk Enterprise w wersjach 10.4.3, 10.2.7, 10.0.10 i 9.4.15 zawiera podatność związaną z nieprawidłową kontrolą dostępu. Luka została wykryta wewnętrznie i pogrupowana według CWE.
Oryginalny opis (angielski, źródło NVD)
In Splunk Enterprise versions below 10.4.2, a user with a high-privilege Splunk role that can manage search head clustering could use the search head cluster member bundle Representational State Transfer (REST) API to write files to locations that the user account running Splunk Enterprise can write to, which could allow for remote code execution. Successful exploitation could result in access to all relevant data and could affect the integrity and availability of the Splunk deployment. The vulnerability does not affect Splunk Enterprise versions below 10.4. The vulnerability is possible because the search head cluster member bundle REST API does not enforce the expected authorization boundary and does not validate bundle paths before accepting bundle content. For more information see Using the REST API reference (https://help.splunk.com/en/splunk-enterprise/rest-api-reference/10.2/introduction/using-the-rest-api-reference), About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access), and About distributed search (https://help.splunk.com/en/splunk-enterprise/administer/distributed-search/9.4/overview-of-distributed-search/about-distributed-search) in the Splunk documentation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS