Splunk коригира 24 уязвимости в сигурността, включително четири критични в Enterprise и SOAR

Splunk пусна обновления за сигурност за 24 уязвимости в Splunk Enterprise и Splunk SOAR, включително четири критични дефекта с CVSS резултати от 9.3 до 9.9.

Splunk публикува корекциите на 21 октомври 2026 г. в три бюлетина, обхващащи контрола на достъпа, обработката на входни данни, изложени файлове, дистанционно изпълнение на код, отказ на услуга и слаби проверки за упълномощаване.

Бюлетинът за подобряване на сигурността на Splunk Enterprise обхваща четири CVE идентификатора, открити вътрешно. Както CVE-2026-76299, така и CVE-2026-76302 имат оценка 9.9 и засягат неправилен контрол на достъпа и неправилно неутрализиране.

CVE-2026-76300, с оценка 8.8, касае лош контрол върху ресурс по време на жизнения му цикъл, докато CVE-2026-76301 има резултат 7.6 за срив в защитен механизъм. Splunk групира вътрешните констатации по вид на слабостта, така че всяко CVE може да представлява повече от един свързан проблем.

Бюлетинът за Splunk SOAR изброява осем отстранени CVE уязвимости във версия 8.7.0. Най-сериозната е CVE-2026-76531 с оценка 9.9, която може да остави файлове или директории достъпни за външни страни.

CVE-2026-76407 е друг критичен проблем с оценка 9.3 и включва неправилен контрол на достъпа. Други слабости в SOAR включват опасни проверки на URL пътища, лоша обработка на входни данни, слаб контрол на ресурсите и пропуски в защитата.

Splunk Fixes 24 Security Flaws

Отделен бюлетин за Splunk Enterprise описва подробно още 12 слабости, водени от CVE-2026-76291 и CVE-2026-76298 с оценка 8.8. Първата може да позволи на потребител с права за планирани търсения да заобиколи защитите и да изпълни рискови SPL команди.

Втората може да позволи на потребител с ниски привилегии да извлече паролата на суперпотребителя за PostgreSQL sidecar и да изпълни команди на операционната система върху членове на search head клъстера.

CVE-2026-76293 също създава риск от дистанционно изпълнение на код. Потребител с правомощието edit_manager_xml би могъл да изпълнява команди на операционната система чрез Splunk Web Manager XML.

Две грешки за отказ на услуга без автентикация, CVE-2026-76288 и CVE-2026-76290, биха могли да доведат до спиране на отговора на услугите на Splunk чрез манипулирани уеб заявки или повтарящи се изтегляния на пакети.

Останалите проблеми засягат упълномощаването в REST API, управлението на извличането на полета, преименуването на sourcetype, SPL филтрирането и действията за федерирано търсене.

Тъй като Splunk често се намира в центъра на наблюдението на сигурността, компрометирана инстанция може да разкрие регистрационни файлове (logs), да отслаби откриването на заплахи или да наруши разследванията. Няколко дефекта изискват автентициран потребител с определени права, но това не ги прави безобидни.

Откраднати акаунти, прекомерни разрешения за роли и слаби вътрешни правила за достъп биха могли да осигурят необходимия достъп. Проблемите с отказ на услуга без автентикация заслужават специално внимание при системи, изложени в интернет, тъй като могат да засегнат услугата без нужда от акаунт.

Организациите трябва да прегледат изложените интерфейси и потребителските роли, докато планират обновленията. Администраторите трябва да надстроят Splunk Enterprise до 10.4.4, 10.2.8, 10.0.11 или 9.4.16 и да преминат към Splunk SOAR 8.7.0 или по-нова версия. Splunk също така заявява, че CVE-2026-76292 и CVE-2026-76295 изискват актуализации на Splunk Secure Gateway до 3.10.12, 3.9.26 или 3.8.73.

Екипите, които нямат възможност да инсталират корекции за сигурност незабавно, могат да намалят риска от излагане, като изключат неизползваните функции на Splunk Web, Pipeline Builders, Secure Gateway или PostgreSQL sidecar, в зависимост от уязвимостта.

Тези стъпки могат да засегнат ключови функции, затова администраторите трябва да прегледат зависимостите преди извършване на промени.