Splunk SOAR ветки 8.7 содержит несколько уязвимостей в REST API (программном интерфейсе для обращения к платформе извне) и в проверке прав доступа. Они позволяют восстановить чужие токены авторизации (строки, которые заменяют пароль при обращениях к интерфейсу) и скачать архив установленного приложения. Ещё одна проблема выполняет чужой код в браузере того, кто откроет документацию приложения. Затронуты экземпляры, не обновлённые до 8.7.0; исправление вышло 21 октября 2026 года.
Собственные уязвимости, ошибки REST API и сторонние пакеты
Общая причина большинства собственных уязвимостей - порядок проверок: SOAR обрабатывает запрос и только потом убеждается, что у вызывающего есть нужные полномочия. Отдельный бюллетень по усилению защиты группирует находки по классам ошибок, и высшая оценка по шкале CVSS (от 0 до 10, чем выше, тем опаснее) - 9.9 из 10 - у ошибки, из-за которой файлы и каталоги остаются доступны внешним сторонам. Рядом идут обход проверок по альтернативному пути и отказ механизма защиты. Атака во всех случаях идёт по сети, учётная запись нужна не всегда, участие пользователя чаще не требуется.
Ошибки контроля доступа и раскрытие данных в REST API
Роль Observer даёт право только на просмотр, но через фильтры запросов в REST API этого хватает, чтобы выяснять хеши паролей и токены других пользователей. Хеш - результат необратимого преобразования пароля, по которому восстанавливают исходную строку. Причина в порядке обработки: фильтры применяются к записям раньше, чем чувствительные поля закрываются от запроса. Оценка - 7.5 из 10, атака идёт по сети и требует учётной записи с низкими правами и высокой сложности. Участие пользователя не нужно; идентификатор в реестре уязвимостей - CVE-2026-76306.
Другая роль, с правом просмотра пользователей и ролей, открывает тот же механизм шире. Восстановленный токен администратора даёт полный контроль над экземпляром. Оценка - 7.2 из 10: сложность атаки низкая, но права у пользователя должны быть высокими.
Права проверяются не везде. Аутентифицированный пользователь без права просмотра приложений скачивает архив установленного приложения вместе с исходным кодом. Так же без проверки отдаётся файл конфигурации Automation Broker (вспомогательного компонента, который выполняет действия на внешних системах): в нём адрес экземпляра, расположение образа контейнера и версия брокера. Первая из этих проблем имеет оценку 6.5 из 10, вторая - ниже.
Смена редакции Enterprise Security через REST API проходит аутентификацию, но не проверку полномочий, поэтому лицензионный режим может поменять любой аутентифицированный пользователь. Отдельный случай - расшифровка: если у неуаутентифицированного пользователя есть зашифрованные учётные данные с экземпляра, он передаёт их в запросе с базовой аутентификацией и получает открытое значение. Оценка у этой ошибки - 5.9 из 10, для атаки нужен доступ к самим зашифрованным данным.
Межсайтовый скриптинг (XSS) в документации приложений
Пользователь с правом установки приложений может вложить в документацию приложения содержимое, которое выполняет браузер. SOAR не очищает такой текст перед показом. Если документацию откроет другой пользователь с правом просмотра приложений, код выполнится в его браузере с его правами. Успех зависит от того, убедят ли жертву открыть документацию, потому что по своей воле владелец права установки этого не сделает. Оценка - 5.7 из 10, средний уровень.
Обновления сторонних пакетов в сборке
Третий бюллетень закрывает 49 уязвимостей в сторонних библиотеках, которые входят в поставку SOAR. Обновлены PostgreSQL до 15.18, PyJWT до 2.13.0, cryptography до 48.0.1 и 49.0.0, pillow до 12.3.0, protobuf до 6.33.6, lodash-es до 4.18.1; всего затронуто 13 пакетов. Часть проблем Splunk относит к высокому уровню. Собственных обходных мер здесь нет, закрывает их только переход на 8.7.0.
Исправленная версия общая для трёх бюллетеней - Splunk SOAR 8.7.0 и выше. Временных конфигураций и обходных мер Splunk не предлагает ни для одной из собственных уязвимостей. Сведений об эксплуатации в реальных атаках в бюллетенях нет. Собственных уязвимостей в выпуске шестнадцать, они разнесены по двум документам; все три опубликованы 21 октября 2026 года.
Порядок обновления зависит от доступности экземпляра из сети. Если SOAR открыт наружу и на нём есть роли с правом просмотра пользователей и ролей, обновление идёт первым: именно такие роли дают путь к токену администратора. После установки 8.7.0 токены учётных записей, к которым был возможен доступ через фильтры запросов, лучше перевыпустить. Права установки приложений ограничивают теми учётными записями, которым они действительно нужны.
Особенность выпуска в том, что основные ошибки затрагивают сам механизм разграничения прав в REST API, на который опирается вся работа с платформой. Пользователь с минимальными правами получает данные, которых видеть не должен, а в случае с токеном администратора - полный контроль. Обновление до 8.7.0 закрывает обе группы собственных уязвимостей и 49 проблем в библиотеках сразу; отдельных патчей под каждую из них нет.
Ссылки
- https://advisory.splunk.com/advisories/SVD-2026-1010
- https://advisory.splunk.com/advisories/SVD-2026-1011
- https://advisory.splunk.com/advisories/SVD-2026-1012
