Splunk Enterprise содержит набор уязвимостей, которые дают пользователю с обычными правами выполнить команды операционной системы и обойти защитные механизмы поиска. Затронуты ветки 10.4, 10.2, 10.0 и 9.4, то есть все поддерживаемые линии платформы сбора и анализа машинных данных. Часть проблем не требует учётной записи: один запрос к веб-интерфейсу оставляет его недоступным до перезапуска службы. Отдельно закрыты слабости в надстройке Splunk Secure Gateway и в сторонних библиотеках дистрибутива.
Уязвимости планировщика поиска и службы PostgreSQL
Первый дефект касается планировщика поисковых заданий. Пользователь с правом создавать задания по расписанию обходит защитные механизмы для рискованных команд языка поисковых запросов Splunk (SPL). После этого он читает или изменяет данные платформы и может нарушить её доступность. Оценка 8,8 из 10: атака идёт по сети, нужна учётная запись с обычными правами, участие пользователя не требуется. Обходного пути вендор не предлагает.
Второй дефект связан с жёстко заданным криптографическим ключом во вспомогательной службе PostgreSQL (sidecar). Это постоянное значение, одинаковое для всех установок. Служба выводит пароль суперпользователя базы из идентификатора кластера узлов поиска, а тот попадает в журналы поисковых заданий. Пользователь без роли администратора получает пароль и выполняет команды операционной системы на узлах кластера. Уровень High по классификации вендора.
Третий дефект требует уже высоких прав. Обладатель права редактировать конфигурацию через страницу управления Splunk Web запускает произвольные команды операционной системы с правами учётной записи службы Splunk. Уровень High, обходных мер вендор не приводит.
Отдельная группа проблем приводит к отказу в обслуживании. Один запрос без учётной записи к журнальному узлу Splunk Web оставляет веб-интерфейс недоступным до перезапуска платформы. Повторные обращения к точке выгрузки пакетов Edge Processor тоже проходят без аутентификации и заставляют службу расходовать ресурсы до потери отклика. Оба дефекта получили уровень High.
Остальные уязвимости требуют учётной записи с обычными правами. Пользователь читает чужие уведомления мобильных оповещений через хранилище ключей и значений (KV Store) надстройки Splunk Secure Gateway. Он же выводит за границы фильтра список панелей управления и отчётов, переносит извлечения полей в недоступные ему приложения и меняет настройки переименования типов источников. Ещё один дефект работает через межсайтовую подделку запроса (CSRF): подготовленная ссылка отключает федеративный поиск, то есть запросы к удалённым наборам данных, если её откроет пользователь с нужным правом. Всем этим проблемам вендор присвоил уровень Medium.
Исправление и обходные меры
Правки вышли одновременно для четырёх веток. Уязвимы версии с 10.4.0 по 10.4.3, с 10.2.0 по 10.2.7, с 10.0.0 по 10.0.10 и с 9.4.0 по 9.4.15. Исправления содержатся в 10.4.4, 10.2.8, 10.0.11 и 9.4.16.
Одного обновления платформы недостаточно. Надстройку Splunk Secure Gateway обновляют до 3.10.12, 3.9.26 или 3.8.73. После апгрейда включают аутентификацию для выгрузки пакетов Edge Processor, готовят все существующие экземпляры Edge Processor и перезапускают Splunk Enterprise.
Если обновление откладывается, остаются временные меры. Отключение Splunk Web закрывает дефект с разбором заголовков, но лишает администраторов веб-интерфейса. Удаление приложения Splunk Pipeline Builders убирает точку выгрузки пакетов и одновременно отключает Edge Processor. Для предварительного просмотра SPL2 в конфигурации предусмотрен параметр spl2_preview_enabled со значением false. Вспомогательную службу PostgreSQL отключают параметром disabled в секции postgres, однако так нельзя поступать при использовании Edge Processor, OpAmp и конвейеров данных SPL2.
Сторонние библиотеки и внутренние правки
Второй бюллетень закрывает четыре группы слабостей, которые Splunk нашёл сам. Идентификаторы присвоены по категориям: нарушение контроля доступа, нарушение управления ресурсом в течение его жизненного цикла, отказ механизма защиты и недостаточная нейтрализация специальных символов. Высший уровень критичности по шкале вендора.
Третий бюллетень описывает 31 CVE в сторонних библиотеках. Сборщик Go обновлён до 1.26.3 во вспомогательной службе PostgreSQL, gRPC до 1.81.0, библиотеки golang.org/x/crypto и golang.org/x/net в утилитах резервного копирования MongoDB до 0.52.0 и 0.55.0. Обновлены также brace-expansion, protobufjs, DOMPurify и bytes. Часть этих проблем вендор пометил как Critical, причём ветка 9.4 службы PostgreSQL не содержит и затронута не всеми правками.
Сведений об эксплуатации перечисленных уязвимостей в реальных атаках вендор не приводит. Публичный код эксплойта бюллетени тоже не упоминают. При этом часть проблем доступна пользователю с обычными правами и не имеет обходных мер. Установка 10.4.4, 10.2.8, 10.0.11 или 9.4.16 закрывает основной риск и требует меньше действий, чем набор временных ограничений.
Ссылки
- https://advisory.splunk.com/advisories/SVD-2026-1007
- https://advisory.splunk.com/advisories/SVD-2026-1008
- https://advisory.splunk.com/advisories/SVD-2026-1009
