CVE-2026-76356
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W wersjach Splunk SOAR poniżej 8.6.0, nieuwierzytelniony użytkownik może sfałszować adres IP źródła w spreparowanym żądaniu do punktu końcowego powiadomień Automation Broker i wykonać dowolny kod na hoście Splunk SOAR. Podatność wynika z tego, że Automation Broker ufa nagłówkowi adresu IP źródła dostarczonemu przez klienta jako dowodowi, że żądanie pochodzi z lokalnego systemu. Udane wykorzystanie może ujawnić wszystkie istotne dane, wpłynąć na integralność systemu i zakłócić dostępność usług.
Ocena ryzyka
Ryzyko obejmuje zdalne wykonanie kodu przez nieuwierzytelnionego atakującego, co może prowadzić do pełnej kompromitacji systemu, naruszenia poufności danych i przerwania działania usług.
Rekomendacja
Zaleca się aktualizację Splunk SOAR do wersji 8.6.0 lub nowszej oraz skonfigurowanie Automation Broker tak, aby nie ufał nagłówkom IP dostarczanym przez klienta.
Oryginalny opis (angielski, źródło NVD)
In Splunk SOAR versions below 8.6.0, an unauthenticated user could spoof the source IP address in a crafted request to an Automation Broker notification endpoint and execute arbitrary code on the Splunk SOAR host. The vulnerability is possible because the Splunk SOAR Automation Broker trusts a client-supplied source IP address header as proof that the request originates from the local system. Successful exploitation can expose all relevant data, affect system integrity, and disrupt service availability. For more information see About Splunk SOAR Automation Broker (https://help.splunk.com/en/splunk-soar/splunk-automation-broker/about-splunk-soar-automation-broker/about-splunk-soar-automation-broker) in the Splunk documentation.