Sicherheitslücke beim Dateizugriff in Splunk SOAR ermöglicht Angreifern mit geringen Berechtigungen die Kompromittierung der Plattform (CVE-2026-76531)

Was passiert ist

Cisco hat dieses Problem im Rahmen einer internen Sicherheitsprüfung festgestellt und beschreibt es als eine Gruppe von Sicherheitslücken in Splunk SOAR im Zusammenhang mit Dateien oder Verzeichnissen, die für externe Parteien zugänglich sind (CWE-552). Die betroffene Funktionalität ist über das Netzwerk erreichbar. Ein Angreifer benötigt ein Konto mit geringen Berechtigungen auf der SOAR-Plattform; eine Benutzerinteraktion ist nicht erforderlich.

Der CVSS-Vektor weist einen kritischen Schweregrad mit einem Wert von 9,9 auf: geringe Angriffskomplexität, geänderter Scope sowie hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Einfach ausgedrückt: Eine Person mit geringen Berechtigungen, die die SOAR-Oberfläche erreichen kann, kann unter Umständen auf Dateien oder Verzeichnisse zugreifen, die eigentlich einem eingeschränkten Zugriff unterliegen sollten. Dieser Zugriff kann sich auf die gesamte Bereitstellung auswirken. Cisco hat keine Ausnutzung dieser Sicherheitslücke gemeldet, und der CVE-Eintrag nennt keine öffentliche Offenlegung.

Wer betroffen ist

Betroffen sind Versionen von Splunk SOAR vor 8.7.0. Cisco nennt keine weiteren betroffenen Produkte oder Versionslinien. Als einziges korrigiertes Release wird Splunk SOAR 8.7.0 angeführt. Wenn Ihr Unternehmen Splunk SOAR einsetzt, gleichen Sie die eingesetzte Version mit diesem korrigierten Release ab.

Was jetzt zu tun ist

Spielen Sie zuerst die Sicherheitsupdates ein. Das korrigierte Release ist Splunk SOAR 8.7.0.

1. Aktualisieren Sie alle Bereitstellungen von Splunk SOAR auf Version 8.7.0.
2. Wenn das Upgrade verschoben werden muss, schränken Sie den Netzwerkzugriff auf die SOAR-Anwendung und die Verwaltungsschnittstellen so ein, dass nur vertrauenswürdige administrative Netze darauf zugreifen können.
3. Überprüfen Sie Konten mit geringen Berechtigungen auf der SOAR-Plattform und entfernen oder deaktivieren Sie ungenutzte Konten. Bereits ein Konto mit geringen Berechtigungen genügt für einen Ausnutzungsversuch.

Cisco hat keinen Workaround veröffentlicht.

Wie man es erkennt

Cisco hat für dieses Problem keine Indikatoren für eine Kompromittierung veröffentlicht. Prüfen Sie vorsorglich die Audit- oder Zugriffsprotokolle von Splunk SOAR auf ungewöhnliche Zugriffe auf Dateien oder Verzeichnisse durch Nutzer mit geringen Berechtigungen, die sich nicht durch normale Automatisierung oder administrative Tätigkeiten erklären lassen. Konzentrieren Sie sich zuerst auf Instanzen, die aus dem Internet oder aus weniger vertrauenswürdigen Netzwerksegmenten erreichbar waren.

Über den Patch hinaus

Die Patch-Zyklen der Hersteller bestimmen, wie lange Sie gefährdet sind: Die Zeit zwischen dem korrigierten Release eines Herstellers und Ihrem Upgrade ist ein Risiko, das Sie tragen. Mit dem Service Lieferkettenschutz & Third-Party Risk von Spirity überwachen wir die Hersteller der von Ihnen eingesetzten Software – einschließlich Versionsverteilung und Patch-Verzögerung –, sodass ein Release wie Splunk SOAR 8.7.0 zu einem kalkulierbaren Risiko wird statt zu einer Überraschung.