SecBoard
Zurück zur CVE-Übersicht

CVE-2026-76268

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

1.6%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2026-76268 betrifft Splunk Enterprise-Versionen unter 10.4.3 und 10.2.7. Sie ermöglicht einem nicht authentifizierten Angreifer mit Netzwerkzugriff auf die Patroni REST API eines Search Head Cluster-Mitglieds die Ausführung beliebiger Betriebssystembefehle. Dies ist auf fehlende Authentifizierung für kritische Konfigurationsoperationen in dieser Schnittstelle zurückzuführen. Die direkte Auswirkung ist eine vollständige Kompromittierung des betroffenen Systems. Die Schwachstelle wird mit einem CVSS-Score von 9.8 als kritisch eingestuft. Obwohl die EPSS-Wahrscheinlichkeit für eine Ausnutzung mit 2% derzeit niedrig ist und die Schwachstelle nicht in CISAs KEV-Katalog aufgeführt ist, ist das Potenzial für eine schwerwiegende Kompromittierung sehr hoch. Die fehlende Authentifizierung für kritische Funktionen stellt ein erhebliches Risiko dar. Security-Teams sollten umgehend alle betroffenen Splunk Enterprise-Instanzen auf die Versionen 10.4.3 oder 10.2.7 (oder höher) aktualisieren, um diese kritische Schwachstelle zu schließen. Bis zur vollständigen Patch-Implementierung sollten Netzwerkzugriffsbeschränkungen auf die Patroni REST API als temporäre Mitigation in Betracht gezogen werden, um das Risiko zu minimieren.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

In Splunk Enterprise versions below 10.4.3 and 10.2.7, an unauthenticated user with network access to the Patroni Representational State Transfer (REST) Application Programming Interface (API) on a search head cluster member could execute attacker-controlled operating-system commands. The vulnerability is possible because this interface does not require authentication for critical configuration operations. For more information see Sidecar configuration settings (https://help.splunk.com/en/data-management/splunk-enterprise-admin-manual/10.2/splunk-sidecars/sidecar-configuration-settings) in the Splunk documentation. Splunk Enterprise versions 10.0.x and 9.4.x are not affected.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Behobene Versionen

  • 10.4.3
  • 10.2.7
  • 10.0.10
  • 9.4.15

Threat-Hunting-Queries

Detect attempts to execute operating system commands via the Patroni REST API on Splunk search head cluster members, which typically listens on a specific port (e.g., 8000 or a custom port). Look for unusual process creations or network connections originating from the Splunk search head cluster member that are not part of normal Splunk operations.

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessCommandLine contains "patroni" and ProcessCommandLine matches regex "(sh|bash|powershell|cmd.exe)"
| where InitiatingProcessParentFileName contains "splunkd"
| project Timestamp, DeviceName, InitiatingProcessCommandLine, ProcessCommandLine, FileName, FolderPath, SHA256

Splunk SPL

index=_internal sourcetype=splunkd (patroni OR "Patroni REST API") (exec OR system OR command) | table _time, host, source, sourcetype, *command*, *process*

Sigma

title: Splunk Patroni REST API OS Command Execution
status: experimental
description: Detects potential OS command execution via the Patroni REST API on Splunk Enterprise search head cluster members due to missing authentication.
logsource:
  category: process_creation
  product: windows # Or linux, depending on Splunk deployment
detection:
  selection:
    ParentImage|endswith: '\splunk\bin\splunkd.exe'
    CommandLine|nocase: # Common command execution patterns
      - '*sh -c*'
      - '*bash -c*'
      - '*powershell -command*'
      - '*cmd.exe /c*'
  condition: selection
fields:
  - CommandLine
  - ParentCommandLine
  - Image
  - User
tags:
  - attack.execution
  - cve.2026.76268

Elastic ES|QL

from process where event.type == "start" and process.parent.executable == "splunkd" and (process.command_line : "*sh -c*" or process.command_line : "*bash -c*" or process.command_line : "*powershell -command*" or process.command_line : "*cmd.exe /c*")

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
  • cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*

Referenzen