Splunk dicht reeks kwetsbaarheden in Splunk Enterprise: update nu

Splunk heeft meerdere beveiligingslekken opgelost in Splunk Enterprise. Gebruikers van versies ouder dan 10.4.2, 10.2.6, 10.0.9 en 9.4.14 moeten zo snel mogelijk updaten. De fixes zijn onderdeel van de 10.4.2-release (beschikbaar sinds 29 juli 2026) en aanvullende security advisories van 19 augustus 2026. De impact varieert van ongeautoriseerde datatoegang tot code-uitvoering met verhoogde rechten. (help.splunk.com)

Wat is er aan de hand

• REST API-lekken en gebrekkige autorisatie: in specifieke API’s konden onvoldoende controles leiden tot ongeautoriseerde toegang tot configuraties, inloggegevens en het uitvoeren van SPL-commando’s met te hoge privileges. In een opvallend geval kon met een verkregen distributed-search privésleutel een admin-sessie worden vervalst. (advisory.splunk.com)
• Cross‑Site Scripting (XSS) en SPL‑injectie via de UI: via zorgvuldig gemaakte links of dashboardacties (o.a. in Dashboard Studio, Dataset Explorer en Event Type Builder) konden aanvallers JavaScript uitvoeren of SPL laten draaien in de context van een ingelogde gebruiker. Dit opent de deur naar datadiefstal of het aanpassen van instellingen. (advisory.splunk.com)
• Onvoldoende scheiding van rechten in web- en clusterfuncties: onder meer Search Head Clustering en Federated Search bevatten paden waarbij laaggeprivilegieerde accounts acties konden uitvoeren of bestanden konden manipuleren die de integriteit van het systeem raken. (advisory.splunk.com)
• Sessiemateriaal en tokens: bij embedded reports en bepaalde exportpaden konden sessiegegevens en tokens buitgemaakt worden, met mogelijk volledige toegang tot data of zelfs admin‑acties als de eigenaar die rol had. (advisory.splunk.com)
• Edge Processor-informatie: enkele endpoints in Edge Processor-sidecars bleken zonder authenticatie informatie prijs te geven over pipelines en servicemetrics. (advisory.splunk.com)

Ook updates van third‑party componenten
Naast productcode heeft Splunk kwetsbaarheden in meegeleverde pakketten gedicht. Denk aan updates voor OpenSSL, libcurl, Go, PostgreSQL en MongoDB. Dit verlaagt het risico op kettingaanvallen via onderliggende libraries en services. Voor alle genoemde takken geldt: update naar minimaal 10.4.2, 10.2.6, 10.0.9 of 9.4.14. (advisory.splunk.com)

Waarom dit ertoe doet
Een deel van de issues is te misbruiken door een gebruiker met beperkte rechten of zelfs door een niet‑ingelogde aanvaller die een slachtoffer een malafide link laat openen. In enterprise‑omgevingen waar meerdere teams dashboards en apps delen, vergroot dat het risico op laterale beweging, credential‑diefstal en het aanpassen van cruciale configuraties. Nationale instanties en CERT’s hebben de waarschuwingen inmiddels uitgelicht, wat onderstreept dat snelle patching nodig is. (cyber.gc.ca)

Wat je nu kunt doen

• Update onmiddellijk: ga naar Splunk Enterprise 10.4.2, 10.2.6, 10.0.9, 9.4.14 of hoger. Controleer per tak de “Fix Version” in de advisory. (advisory.splunk.com)
• Beperk risico’s tot de update voltooid is:
  • Minimaliseer Splunk Web-blootstelling of schakel Splunk Web uit waar mogelijk. (advisory.splunk.com)
  • Pas least‑privilege toe: verwijder onnodige capabilities zoals schedule_search of rest_properties_set uit custom rollen. (advisory.splunk.com)
  • Harden distributed search: zorg voor striktere validatie van vertrouwde peers (mitigatie tegen het misbruiken van search‑tokens). (cve.report)
• Review en rotate secrets: roteer tokens/keys die via de genoemde paden zichtbaar konden zijn (bijv. embedded‑report tokens of opgeslagen credentials). (advisory.splunk.com)
• Versterk detectie: update je Enterprise Security Content Update (ESCU)‑app; Splunk’s Threat Research Team bracht in juli/augustus nieuwe detectiecontent uit die helpt afwijkend gedrag sneller te zien. (splunk.com)

Praktisch gezien is de snelste weg vooruit: patchen naar de genoemde versies, Splunk Web en gevoelige endpoints strak afschermen, en rollen opschonen. Wie daarnaast de ESCU‑content bijwerkt en secrets roteert, verkleint het resterende risico aanzienlijk. (advisory.splunk.com)

Bronnen: officiële Splunk‑advisories en releasenotes; aanvullende waarschuwingen van overheidsinstanties. (advisory.splunk.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.