Splunk Enterprise: nem megfelelő hozzáférés-szabályozás révén alacsony jogosultságú hálózati támadók feltörhetik a rendszereket (CVE-2026-76299)

Mi történt

A Cisco közlése szerint egy belső biztonsági felülvizsgálat nyomán adták ki a Splunk Enterprise-hoz készült megerősítő szoftverfrissítést. A CVE-2026-76299 azonosító több, belső vizsgálat során feltárt sérülékenységet sorol a nem megfelelő hozzáférés-szabályozás (CWE-284) kategóriába. A CVE-bejegyzés szerint a hiba hálózaton keresztül elérhető, csak alacsony jogosultságot igényel, és nem igényel felhasználói beavatkozást. Egy alacsony jogosultságú fiók elegendő; a támadónak nem kell rávennie a felhasználót, hogy bármire kattintson vagy bármit megnyisson. CVSS 3.1 szerint a hiba kritikus besorolású, 9,9-es alappontszámmal rendelkezik. A bizalmasságra, a sértetlenségre és a rendelkezésre állásra gyakorolt hatása magas, a hatóköre pedig változott, ami azt jelenti, hogy a kompromittálás a sérülékeny összetevőn túlra is kiterjedhet. A Cisco nem közölte, hogy ezeket a sérülékenységeket kihasználták-e, vagy nyilvánosan közzétették-e.

Kit érint

A Splunk Enterprise az alábbi verziótartományokban érintett: a 10.4-es sorozat 10.4.4 előtti kiadásai, a 10.2-es sorozat 10.2.8 előtti kiadásai, a 10.0-s sorozat 10.0.11 előtti kiadásai, valamint a 9.4-es sorozat 9.4.16 előtti kiadásai. Minden olyan telepítést érintettként kell kezelni, amely ezen kiadások valamelyikén fut, és előre kell sorolni a frissítés szempontjából. A rendszergazdák a telepített verziókat közvetlenül összevethetik ezekkel a tartományokkal az érintettség megerősítéséhez. A CVE-bejegyzés nem sorol fel más érintett terméket vagy verziót.

Mit kell most tenni

1. Azonosítsa a környezetében lévő összes Splunk Enterprise-telepítést, és ellenőrizze, hogy verziójuk melyik fenti tartományba esik.
2. Ütemezze a frissítést a telepített verziónak megfelelő javított kiadásra: Splunk Enterprise 10.4.4, 10.2.8, 10.0.11 vagy 9.4.16. Ezek az egyetlen felsorolt javított verziók.
3. A biztonsági közlemény nem sorol fel kerülő megoldást vagy más enyhítő intézkedést, ezért a frissítés telepítését kell előtérbe helyezni.
4. Ha nem tudja azonnal telepíteni a javítást, korlátozza a hálózati hozzáférést az érintett Splunk Enterprise-példányokhoz, kísérje figyelemmel a fióktevékenységeket – különösen az alacsony jogosultságú fiókokat –, és keresse a naplókban a visszaélésekre utaló jeleket, amíg a frissítés be nem fejeződik.

A javításon túl

Először telepítse a javítást. A tágabb tanulság a szállítók javítási üteme: a Splunk Enterprise kritikus hozzáférés-szabályozási hibája miatt a kitettség attól a pillanattól kezdve fennáll, hogy a javítás elérhetővé válik, egészen addig, amíg a teljes környezetben telepítik. Annak nyomon követése, hogy mely szállítók szoftvereit futtatja, és milyen gyorsan javítják a súlyos hibákat, az ellátási lánc kockázatainak kezelését jelenti. Az Ellátási lánc védelem és harmadik felekkel kapcsolatos kockázatok szolgáltatásunk pontosan ezt a feladatot látja el, így a CVE-2026-76299-hez hasonló frissítéseket még azelőtt azonosítani és ütemezni lehet, hogy vészhelyzetté válnának.