Splunk Enterprise: Fest codierter kryptografischer Schlüssel im PostgreSQL-Sidecar

Zusammenfassung

Search-Head-Cluster-Mitglieder von Splunk Enterprise vor 10.4.4 und 10.2.8 enthalten einen Fehler im PostgreSQL-Sidecar-Dienst. Der Dienst leitet das Datenbank-Superuser-Passwort aus der Search-Head-Cluster-Kennung ab, die in Suchjob-Logs erscheint. Ein Benutzer ohne die Rollen admin oder power, der diese Kennung erhalten kann, kann das Passwort ableiten und Betriebssystembefehle unter dem Konto ausführen, unter dem Splunk Enterprise läuft. Der CVE-Titel nennt einen fest codierten Schlüssel, die Beschreibung im Advisory beschreibt jedoch ein abgeleitetes Passwort; eigenständige Instanzen werden nicht als betroffen genannt.

Betroffen

• Splunk Enterprise 10.4.0 bis 10.4.3
• Splunk Enterprise 10.2.0 bis 10.2.7
• Unbekannt: ob 10.0.x und 9.4.x betroffen sind. Vendor-Advisory SVD-2026-1007 prüfen.

Behoben in

• Splunk Enterprise 10.4.4
• Splunk Enterprise 10.2.8
• Splunk nennt 10.0.11 und 9.4.16 als korrigierte Versionen für andere CVEs im selben Advisory; für diese CVE das Vendor-Advisory prüfen.

Umgehung

• Wenn ein sofortiges Upgrade nicht möglich ist, [postgres] disabled = true in server.conf setzen und Splunk Enterprise neu starten.
• Diese Massnahme nicht anwenden, wenn Edge Processor, OpAmp oder SPL2-Datenpipelines auf der Instanz genutzt werden, da diese dann ausfallen.
• Einschränken, welche Benutzer Suchjob-Logs lesen können.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung none, nicht automatisierbar, totale technische Auswirkung.
• Quellen führen den Status als nicht ausgenutzt, und es wurde kein öffentlicher Proof of Concept gefunden; diese Aggregatorquellen sollten erneut geprüft werden.

Unsere Empfehlung

• Search-Head-Cluster-Mitglieder mit betroffenen Versionen identifizieren.
• So rasch wie möglich auf 10.4.4 oder 10.2.8 oder neuer aktualisieren.
• Ist ein Upgrade nicht möglich, die Sidecar-Massnahme anwenden, nachdem geprüft wurde, ob Edge Processor, OpAmp oder SPL2-Pipelines genutzt werden.
• Zugriff auf Suchjob-Logs einschränken und ungewöhnliche Betriebssystembefehle des Splunk-Dienstkontos überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Splunk Advisory SVD-2026-1007 advisory.splunk.com
• OpenCVE CVE-2026-76298 app.opencve.io
• Splunk sidecar configuration settings help.splunk.com
• Securityonline: Splunk vulnerabilities October 2026 securityonline.info
• Strix CVE-2026-76298 www.strix.ai
• The Hacker Wire CVE-2026-76298 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:04.