Splunk hat Sicherheitsupdates veröffentlicht, die drei kritische Schwachstellen mit einer Bewertung von CVSS 9,9 sowie zwei Schwachstellen zur Remotecodeausführung (RCE) in Splunk Enterprise beheben.
Die am 21. Oktober veröffentlichten Hinweise behandeln zwei kritische Schwachstellen in Splunk Enterprise und eine in Splunk SOAR. Splunk hat nicht bestätigt, ob die drei kritischen Schwachstellen eine nicht authentifizierte RCE ermöglichen. Der separate Enterprise-Hinweis dokumentiert jedoch zwei Probleme bei der Befehlsausführung, die bestehende Benutzerberechtigungen erfordern.
Administratoren können die neu offengelegten Schwachstellen beheben, indem sie Splunk Enterprise je nach Zweig auf Version 10.4.4, 10.2.8, 10.0.11 oder 9.4.16 und Splunk SOAR auf Version 8.7.0 aktualisieren.
Drei kritische Splunk-Schwachstellen mit einer Bewertung von 9,9
Splunks Hinweis zur Absicherung von Enterprise nennt vier Schwachstellen, darunter zwei mit einer Bewertung von CVSS 9,9:
- CVE-2026-76299 (9,9): Fehlerhafte Zugriffskontrolle, als CWE-284 klassifiziert.
- CVE-2026-76302 (9,9): Fehlerhafte Neutralisierung, als CWE-707 klassifiziert.
- CVE-2026-76300 (8,8): Fehlerhafte Kontrolle einer Ressource während ihrer Lebensdauer.
- CVE-2026-76301 (7,6): Versagen des Schutzmechanismus.
Splunk fasst mehrere intern identifizierte Findings nach der Common Weakness Enumeration (CWE) zusammen und weist jeder Gruppe eine CVE zu. Die veröffentlichte CVSS-Bewertung entspricht dem höchsten Wert innerhalb der jeweiligen Gruppe.
Das Unternehmen hat keine detaillierten Angaben zu den Ausnutzungsbedingungen oder CVSS-Vektoren der beiden Enterprise-Schwachstellen mit 9,9 veröffentlicht. Ihre Authentifizierungsanforderungen und ihr RCE-Potenzial sind daher weiterhin unbestätigt.
Ein separater SOAR-Hinweis nennt CVE-2026-76531, eine weitere Schwachstelle mit 9,9, die Dateien oder Verzeichnisse betrifft, auf die externe Parteien zugreifen können.
Splunk hat auch diese SOAR-Schwachstelle nicht als nicht authentifizierte RCE eingestuft.
Die Offenlegung folgt auf frühere Splunk-Schwachstellen zur Rechteausweitung, die Schwächen beim Schutz sensibler Komponenten durch die Plattform offenlegten.
Zwei bestätigte RCE-Schwachstellen erfordern eine Authentifizierung
Splunks am 21. Oktober veröffentlichter Enterprise-Schwachstellenhinweis beschreibt separat zwei Schwachstellen, über die Angreifer Befehle des Betriebssystems ausführen können.
CVE-2026-76293 (CVSS 7,2) betrifft Splunk Web Manager XML. Ein Benutzer mit der edit_manager_xml entsprechenden Berechtigung könnte Befehle mit den Rechten des Kontos ausführen, unter dem Splunk Enterprise läuft.
Die Schwachstelle erfordert weitreichende Berechtigungen und betrifft Enterprise-Versionen vor 10.4.3, 10.2.8, 10.0.11 und 9.4.16.
CVE-2026-76298 (CVSS 8,8) betrifft einen fest codierten kryptografischen Schlüssel im PostgreSQL-Sidecar-Dienst.
Ein Benutzer ohne die Rolle „admin“ oder „power“ könnte das Passwort des Datenbank-Superusers ableiten und Betriebssystembefehle auf Mitgliedern eines Search-Head-Clusters ausführen.
Diese Schwachstelle erfordert geringe Berechtigungen und betrifft Enterprise-Versionen vor 10.4.4 und 10.2.8.
Keine der beiden Schwachstellen ist als nicht authentifizierte RCE klassifiziert.
Derselbe Hinweis nennt zwei nicht authentifizierte Denial-of-Service-Schwachstellen, CVE-2026-76288 und CVE-2026-76290, die jeweils mit CVSS 7,5 bewertet sind.
Diese Findings zeigen, dass die Veröffentlichung vom 21. Oktober mehrere unterschiedliche Sicherheitsrisiken umfasst und nicht nur einen kritischen RCE-Exploit.
Eine separate nicht authentifizierte RCE wurde am 7. Oktober offengelegt
Splunk bestätigte zuvor in seinem Hinweis vom 7. Oktober eine nicht authentifizierte RCE-Schwachstelle, CVE-2026-76268.
Die Schwachstelle betrifft die Patroni-REST-API auf Search-Head-Cluster-Mitgliedern von Splunk Enterprise. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf die Schnittstelle könnte Betriebssystembefehle ausführen.
Die mit CVSS 9,8 bewertete Schwachstelle betrifft Enterprise-Versionen vor 10.4.3 und 10.2.7. Die Zweige 10.0.x und 9.4.x sind nicht betroffen.
Dies ist eine separate Offenlegung und steht nicht im Zusammenhang mit den Schwachstellen vom 21. Oktober. Sie sollte nicht mit den neueren Findings mit 9,9 verwechselt werden.
Organisationen, die mehrere Splunk-Implementierungen verwalten, sollten beide Veröffentlichungen prüfen, insbesondere wenn ältere Mitglieder von Search-Head-Clustern weiterhin zugänglich sind.
Betroffene Versionen und Hinweise zum Patchen
Splunk empfiehlt, die betroffenen Produkte auf die folgenden oder höhere Versionen zu aktualisieren:
| Produkt | Betroffene Versionen | Fehlerbereinigte Version |
|---|---|---|
| Splunk Enterprise 10.4 | 10.4.0–10.4.3 | 10.4.4 |
| Splunk Enterprise 10.2 | 10.2.0–10.2.7 | 10.2.8 |
| Splunk Enterprise 10.0 | 10.0.0–10.0.10 | 10.0.11 |
| Splunk Enterprise 9.4 | 9.4.0–9.4.15 | 9.4.16 |
| Splunk SOAR | Vor 8.7.0 | 8.7.0 |
Einzelne Schwachstellen können engere Versionsbereiche betreffen.
Die Veröffentlichungen vom 21. Oktober umfassen außerdem Updates für Pakete von Drittanbietern, sodass Administratoren native Schwachstellen und betroffene Abhängigkeiten im Rahmen derselben Enterprise-Upgrades beheben können.
Sicherheitsteams sollten die folgenden Maßnahmen priorisieren:
- Erfassen Sie alle Installationen von Splunk Enterprise und SOAR einschließlich der Mitglieder von Search-Head-Clustern.
- Aktualisieren Sie betroffene Installationen auf die entsprechenden fehlerbereinigten Versionen.
- Überprüfen Sie privilegierte Funktionen, insbesondere
edit_manager_xml, und schränken Sie unnötige Zugriffe ein. - Prüfen Sie, ob der PostgreSQL-Sidecar-Dienst auf betroffenen Systemen aktiviert ist.
- Prüfen Sie die zusätzlichen Anforderungen zur Behebung für die Komponenten Splunk Secure Gateway und Edge Processor.
Für CVE-2026-76298 stellt Splunk eine vorläufige Abhilfe bereit: Deaktivieren Sie den PostgreSQL-Sidecar über die [postgres] Stanza in server.conf und starten Sie Splunk Enterprise neu.
Diese Abhilfe darf jedoch nicht auf Instanzen angewendet werden, die Edge Processor, OpAmp oder SPL2-Datenpipelines verwenden, da sie diese Funktionen beeinträchtigt.
Organisationen sollten außerdem ihre übergeordneten Patch-Management-Prozesse überprüfen, um Implementierungen zu identifizieren, die weiterhin auf anfälligen Versionen laufen.
Die Fehlerbehebungen vom 21. Oktober sind ab sofort verfügbar. Administratoren müssen vor dem Upgrade nicht auf weitere Details zur Ausnutzung warten.
Ungeklärt ist weiterhin, ob Splunk zusätzliche technische Informationen zu den drei Schwachstellen mit CVSS 9,9 veröffentlichen wird. Bis dahin sollten ihre genauen Angriffsbedingungen nicht als bestätigte nicht authentifizierte RCE beschrieben werden.
Auch lesen: Aktuelle NGINX-Sicherheitspatches beheben fünf Schwachstellen, darunter drei als kritisch eingestufte.