CVE-2026-76253
WysokieCVSS 8.8Streszczenie
W Splunk Enterprise przed wersjami 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z uprawnieniem schedule_search może uruchamiać dowolne polecenia SPL z najwyższymi uprawnieniami systemowymi i odczytać wszystkie poświadczenia z magazynu poświadczeń. Dzieje się tak, ponieważ konfiguracja akcji alertów dla zaplanowanych wyszukiwań nie ogranicza odpowiednio ustawień akcji alertów specyficznych dla użytkownika przed uruchomieniem akcji przez scheduler.
Ocena ryzyka
Ryzyko obejmuje ujawnienie i modyfikację wszystkich danych, naruszenie integralności systemu oraz potencjalny wpływ na dostępność, ponieważ atakujący może uzyskać pełną kontrolę nad systemem.
Rekomendacja
Zaleca się aktualizację Splunk Enterprise do wersji 10.4.2, 10.2.6, 10.0.9 lub 9.4.14 (lub nowszej) oraz przegląd uprawnień użytkowników, aby ograniczyć przypisywanie schedule_search.
Oryginalny opis (angielski, źródło NVD)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user that holds a role with the schedule_search capability could run arbitrary Search Processing Language (SPL) commands with the highest level of system privilege and read every credential stored in the credential store, which can allow for disclosure and modification of all relevant data and affect system integrity and availability. The vulnerability is possible because scheduled search alert action configuration does not properly restrict user-specific alert action settings before the search scheduler runs alert actions. For more information see Create scheduled alerts (https://help.splunk.com/en/splunk-enterprise/alert-and-respond/alerting-manual/9.3/create-alerts/create-scheduled-alerts), Set up alert actions (https://help.splunk.com/en/splunk-enterprise/alert-and-respond/alerting-manual/9.3/configure-alert-actions/set-up-alert-actions), Define roles on the Splunk platform with capabilities (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.4/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities), and Configuration file precedence (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.2/administer-splunk-enterprise-with-configuration-files/configuration-file-precedence) in the Splunk documentation.