Splunk SOAR fájlhozzáférési sérülékenysége lehetővé teszi, hogy alacsony jogosultságú támadók kompromittálják a platformot (CVE-2026-76531)

Mi történt

A Cisco belső biztonsági felülvizsgálata során azonosította a problémát, és a Splunk SOAR-t érintő sérülékenységek egy csoportjaként írja le. Ezek a sérülékenységek külső felek számára hozzáférhető fájlokhoz vagy könyvtárakhoz kapcsolódnak (CWE-552). Az érintett funkció a hálózaton keresztül érhető el. A támadónak alacsony jogosultságú fiókra van szüksége a SOAR-platformon, felhasználói beavatkozás pedig nem szükséges.

A CVSS-vektor 9,9-es pontszámmal kritikus súlyosságot rögzít: alacsony támadási komplexitás, megváltozott hatókör, valamint a bizalmasságra, integritásra és rendelkezésre állásra gyakorolt magas hatás. Leegyszerűsítve, ha egy alacsony jogosultságú felhasználó eléri a SOAR-felületet, hozzáférhet olyan fájlokhoz vagy könyvtárakhoz, amelyekhez való hozzáférést korlátozni kellene, és ez a hozzáférés a szélesebb körű telepítést is érintheti. A Cisco nem jelentett kihasználást ezzel a hibával kapcsolatban, a CVE-rekord pedig nem említ nyilvános közzétételt.

Kit érint

A Splunk SOAR 8.7.0 előtti verziói érintettek. A Cisco nem sorol fel más érintett terméket vagy verzióágat, és az egyetlen felsorolt javított kiadás a Splunk SOAR 8.7.0. Ha az Ön szervezete Splunk SOAR-t futtat, vesse össze a telepített verziót ezzel a javított kiadással.

Mit kell most tenni

Első lépésként telepítse a javítást. A javított kiadás: Splunk SOAR 8.7.0.

1. Frissítse az összes Splunk SOAR telepítést a 8.7.0 verzióra.
2. Ha a frissítést el kell halasztani, korlátozza a SOAR-alkalmazás és a felügyeleti felületek hálózati elérését úgy, hogy azokat csak megbízható üzemeltetői hálózatok érhessék el.
3. Vizsgálja felül a SOAR-platform alacsony jogosultságú fiókjait, és távolítsa el vagy tiltsa le a nem használt fiókokat; a kihasználás megkísérléséhez már egy alacsony jogosultságú fiók is elegendő.

A Cisco nem tett közzé kerülő megoldást.

Hogyan észlelhető

A Cisco nem tett közzé kompromittálódásra utaló jeleket ezzel a hibával kapcsolatban. Elővigyázatosságból vizsgálja át a Splunk SOAR audit- vagy hozzáférési naplóit, és keressen olyan szokatlan fájl- vagy könyvtárhozzáféréseket alacsony jogosultságú felhasználóktól, amelyek nem magyarázhatók a szokásos automatizálással vagy üzemeltetési tevékenységgel. Elsőként azokra a példányokra összpontosítson, amelyek az internet felől vagy kevésbé megbízható hálózati szegmensekből voltak elérhetők.

A javításon túl

A beszállítói javítási ciklusok határozzák meg az Ön kitettségi időablakát: a szállító javított kiadása és az Ön frissítése közötti idő az Ön által viselt kockázat. A Spirity Ellátási lánc védelem és harmadik féltől eredő kockázatok szolgáltatása nyomon követi az Ön által futtatott szoftverek beszállítóit, beleértve a verziók megoszlását és a javítások telepítésének késedelmét is, így egy olyan kiadás, mint a Splunk SOAR 8.7.0, mérhető kockázattá válik, nem pedig váratlan meglepetéssé.