Splunk dicht reeks ernstige lekken in Splunk Enterprise en Secure Gateway

Splunk heeft een grote serie kwetsbaarheden verholpen in Splunk Enterprise. De problemen raken meerdere recente takken van het product en, in enkele gevallen, ook de Splunk Secure Gateway-app. Updates met fixes verschenen op 7 oktober 2026. Splunk adviseert te upgraden naar Splunk Enterprise 10.4.3, 10.2.7, 10.0.10 of 9.4.15 en Splunk Secure Gateway 3.10.11, 3.9.25 of 3.8.72. (advisory.splunk.com)

Wat er misging

• Onvoldoende autorisatie in REST-API’s: diverse endpoints controleerden rechten niet strikt genoeg. Daardoor konden gebruikers zonder admin- of power-rol bij gevoelige functies of data. Voorbeelden zijn het ophalen van vrijwel alle informatie over andermans zoekjobs via een gemanipuleerd job-ID en het uitvoeren van configuratiehandelingen die hogere rechten veronderstellen. (nvd.nist.gov)
• Toegang tot geprivilegieerde functies: een specifiek API-probleem maakte het mogelijk om token-signing keys te herladen zonder de juiste autorisatie—iets wat normaal gesproken strikt is afgeschermd. (advisory.splunk.com)

Injectie- en validatieproblemen

• SQL-injectie in SPL2-modules: via de SPL2 Module Catalog konden bevoegdheden worden omzeild en moduledefinities of andere gegevens worden ingezien die buiten het toegestane bereik vallen. (cve.report)
• Manipulatie van indexnamen via collect: door gebrekkige normalisatie van indexnamen kon de collect-opdracht events wegschrijven naar interne indexen, buiten de indexrestricties van de rol van de gebruiker. (nvd.nist.gov)
• Loginjectie: via de REST-API van de Splunk App voor Splunk Observability Cloud was het mogelijk vervalste loggegevens te laten registreren. (advisory.splunk.com)

Privilege-escalatie op Linux

• Tijdens pakketupgrades op Linux vertrouwde een maintainer-script op bestaande installatiebestanden die met root-rechten worden verwerkt. Dat opende de deur voor lokale privilege-escalatie bij een gemanipuleerd upgradepad. (secalerts.co)

Onbedoelde blootstelling van broncode

• In de Discover Splunk Observability Cloud-app bleken productie-JavaScriptbundles embedded source maps te bevatten. Daardoor kon originele broncode worden ingezien—onnodig risicovol in productieomgevingen. (secalerts.co)

Meer opvallende issues

• Interne indexen en autorisatie­omzeiling: naast de collect-kwetsbaarheid zijn er meerdere problemen gemeld rond ontoereikende toegangscontroles in REST-API’s en interne functionaliteit. Samen vergroten ze de kans dat gevoelige data (zoals zoekopdrachten, logs en metadata) buiten de bedoelde grenzen terechtkomt. (advisory.splunk.com)
• Wijzigen van alert- en mobiele ontvangerdata: in Splunk Secure Gateway waren KV Store-collecties onjuist geautoriseerd. Daardoor konden geauthenticeerde gebruikers zonder admin/sc_admin-rol alertdata en mobiele ontvangerinformatie aanpassen—met impact op downstream alerting en subscriptions. (nvd.nist.gov)
• Gebruikersnamen met een punt aan het einde: door foutieve validatie accepteerde Splunk een trailing dot in native gebruikersnamen. Dat kon ertoe leiden dat verschillende accounts configuratiegegevens deelden of dat user management op het verkeerde account toepaste. (nvd.nist.gov)

Impact in de praktijk
Splunk fungeert vaak als centrale motor voor logging, monitoring en forensische analyse. Autorisatielekken in REST-API’s, injectiemogelijkheden in SPL/SPL2 en fouten in app-permissies tasten de vertrouwensketen van log- en zoekdata aan. Sommige CVE’s scoren hoog tot kritiek op de CVSS-schaal, waardoor misbruik kan leiden tot datalekken, wijziging van configuraties of—bij ketenmisbruik—remote code execution. (advisory.splunk.com)

Aanbevolen acties

• Upgrade direct:
  • Splunk Enterprise: 10.4.3, 10.2.7, 10.0.10 of 9.4.15 (afhankelijk van uw tak).
  • Splunk Secure Gateway: 3.10.11, 3.9.25 of 3.8.72. (advisory.splunk.com)
• Tijdelijke mitigaties als upgraden niet meteen kan:
  • Verwijder of schakel getroffen apps tijdelijk uit, waaronder Discover Splunk Observability Cloud en—indien niet nodig—Splunk Secure Gateway. (advisory.splunk.com)
  • Beperk het gebruik van de collect-opdracht: haal de run_collect-capability weg bij rollen die geen toegang tot interne indexen mogen hebben. (advisory.splunk.com)
• Herzie toegangsrechten en API-exposure:
  • Minimaliseer rollen met gevoelige REST-API-capabilities en controleer of interne indexen en zoekjobs niet breder toegankelijk zijn dan bedoeld. (nvd.nist.gov)
• Valideer accounts en configuratiebestanden:
  • Controleer op afwijkende gebruikersnamen (zoals met een trailing dot) en herstel per-gebruiker directories en policies waar nodig. (nvd.nist.gov)

Versies en disclosure
De beschreven problemen zijn onderdeel van Splunks bundeladviezen die op 7 oktober 2026 zijn gepubliceerd (september/oktober-ronde). Eerder, in augustus 2026, publiceerde Splunk al een grote set CVE’s met onder meer API-autorisa­tie­problemen, SQL-injecties en risky-command-bypasses. Wie nog oudere releases draait, loopt dus verhoogd risico en doet er verstandig aan versneld te plannen voor een upgrade. (advisory.splunk.com)

Tot slot
Organisaties die Splunk gebruiken voor SIEM, compliance of observability doen er goed aan niet alleen te patchen, maar ook hun rollenmodel, app-landschap en API-blootstelling te herijken. Zo voorkomt u dat kleine validatiebugs onbedoeld grote gevolgen krijgen in de keten van detectie, onderzoek en respons. (advisory.splunk.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.