Splunk Enterprise: Nicht authentifizierte Befehlsausführung in Patroni REST API

Zusammenfassung

Search-Head-Cluster-Mitglieder (SHC) von Splunk Enterprise in den Zweigen 10.4 und 10.2 stellen eine Patroni REST API bereit, die für kritische Konfigurationsoperationen keine Authentifizierung verlangt. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf diese API kann Betriebssystembefehle auf dem betroffenen Host ausführen. Eigenständige Instanzen werden nicht als betroffen beschrieben, und die Versionen 10.0.x und 9.4.x sind nicht betroffen.

Betroffen

• Splunk Enterprise 10.4.0 bis 10.4.2
• Splunk Enterprise 10.2.0 bis 10.2.6
• Nur relevant für Search-Head-Cluster-Mitglieder mit aktiviertem PostgreSQL-(Patroni-)Sidecar
• Nicht betroffen: Splunk Enterprise 10.0.x und 9.4.x

Behoben in

• Splunk Enterprise 10.4.3 oder neuer (Zweig 10.4)
• Splunk Enterprise 10.2.7 oder neuer (Zweig 10.2)

Umgehung

• Falls Sie keine Edge-Processor-, OpAmp- oder SPL2-Datenpipelines verwenden, setzen Sie disabled = true im Abschnitt [postgres] der Datei $SPLUNK_HOME/etc/system/local/server.conf und starten Sie Splunk Enterprise neu.
• Beschränken Sie den Netzwerkzugriff auf die Patroni- und etcd-Ports auf die IP-Adressen der SHC-Peers (allgemeine Härtung).

Ausnutzung

• Splunk meldet keine aktive Ausnutzung.
• CISA-SSVC-Bewertung: Exploitation none, automatable yes, technical impact total.
• Es wurde über öffentlich verfügbaren Proof-of-Concept-Code berichtet; dieser wurde vom Tracker nicht geprüft.

Unsere Empfehlung

• Prüfen Sie, ob Sie einen Search-Head-Cluster betreiben und welche Version (10.2.x oder 10.4.x) läuft.
• Aktualisieren Sie prioritär auf 10.2.7, 10.4.3 oder neuer.
• Falls ein sofortiges Update nicht möglich ist, deaktivieren Sie das nicht genutzte [postgres]-Sidecar und beschränken Sie den Zugriff auf Patroni und etcd auf die SHC-Peers.
• Prüfen Sie die Logs auf unerwartete Anfragen an die Patroni API.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  murrez/CVE-2026-76268

Quellen der Recherche

• Splunk Advisory SVD-2026-1001 advisory.splunk.com
• Horizon3.ai analysis of CVE-2026-76268 horizon3.ai
• CSA Singapore alert AL-2026-145 www.csa.gov.sg
• Cyberpress: Critical Splunk Enterprise vulnerability cyberpress.org
• GitHub: public PoC repository (unverified) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:36.