Splunk Enterprise: Unzureichende Zugriffskontrolle bei geplanten Suchen

Zusammenfassung

Splunk Enterprise wendet die SPL-Schutzmassnahmen für riskante Befehle nicht auf geplante Suchen an. Ein Benutzer mit einer Rolle, die die Berechtigung schedule_search besitzt, kann diese Schutzmassnahmen umgehen und riskante SPL-Befehle ausführen. Dadurch können Daten in Splunk Enterprise offengelegt oder verändert sowie die Verfügbarkeit der Plattform gestört werden. Der Angreifer benötigt ein gültiges Konto mit dieser Berechtigung; eine Benutzerinteraktion ist nicht erforderlich.

Betroffen

• Splunk Enterprise 10.4.0 bis vor 10.4.4
• Splunk Enterprise 10.2.0 bis vor 10.2.8
• Splunk Enterprise 10.0.0 bis vor 10.0.11
• Splunk Enterprise 9.4.0 bis vor 9.4.16

Behoben in

• Splunk Enterprise 10.4.4
• Splunk Enterprise 10.2.8
• Splunk Enterprise 10.0.11
• Splunk Enterprise 9.4.16

Umgehung

• Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround-Massnahme für diese CVE gefunden.
• Die Reduktion der Rollen mit der Berechtigung schedule_search verkleinert die gefährdete Benutzergruppe während des Patchens, ist aber keine dokumentierte Behebung.

Ausnutzung

• Splunk meldet keine Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof-of-Concept gefunden.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Splunk Enterprise in der nächsten Wartungsperiode auf 10.4.4, 10.2.8, 10.0.11 oder 9.4.16 (oder höher) aktualisieren, zusammen mit dem Oktober-2026-Paket.
• Prüfen, welche Rollen die Berechtigung schedule_search besitzen, und diese dort entfernen, wo sie nicht benötigt wird.
• Sicherstellen, dass Splunk Web und die Verwaltungsschnittstelle nicht aus dem Internet erreichbar sind.
• Geplante Suchen und Audit-Protokolle auf ungewöhnliche SPL-Befehle überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Splunk Advisory SVD-2026-1007 advisory.splunk.com
• Splunk SPL safeguards for risky commands (commands that trigger safeguards) help.splunk.com
• Splunk Advisory SVD-2026-0801 advisory.splunk.com
• CryptiKa: Splunk fixes 24 security flaws www.cryptika.com
• Strix AI CVE-2026-76291 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:04.