CVE-2026-76259: Sårbarhed i Splunk Enterprise på Windows
Lokal bruger kan kapre Splunks administrationsport på Windows og stjæle godkendelsestokens. Opdatér Splunk Enterprise til rettet version.
Hvad er det?
CVE-2026-76259 er en sårbarhed i Splunk Enterprise, når det kører på Windows. En lokal bruger på serveren kan binde sig til administrationsporten, før Splunk-tjenesten selv starter. Herved kan brugeren opsnappe godkendelsestokens fra underprocesser og bruge dem til at overtage de rettigheder, som Splunk-tjenesten kører med. Fejlen skyldes, at Windows-lytteren på administrationsporten ikke sikrer eksklusiv binding, inden tjenesten starter. Det er en rettighedseskalering: en bruger med begrænset adgang kan ende med samme rettigheder som Splunk-kontoen.
Hvem rammer det?
Sårbarheden rammer Splunk Enterprise installeret på Windows i versionerne 9.3.0 til 9.3.13, 9.4.0 til 9.4.12, 10.0.0 til 10.0.8, 10.2.0 til 10.2.5 og 10.4.0 til 10.4.1. Det gælder virksomheder og kommuner, der kører Splunk som logsystem eller SIEM-løsning (system til overvågning af sikkerhedshændelser) på egne Windows-servere. Splunk Cloud og installationer på Linux eller macOS er ikke berørt.
Hvad kan ske?
En medarbejder, en driftspartner eller en angriber, der allerede har fået fodfæste på Windows-serveren med lokal adgang, kan udnytte sårbarheden til at få samme rettigheder som Splunk-tjenesten. Da Splunk ofte samler logdata fra hele netværket, herunder adgangskoder, IP-adresser og systemhændelser, kan det give adgang til meget følsomme oplysninger på tværs af organisationen. I værste fald kan angriberen ændre eller slette logdata og dermed skjule spor efter et andet angreb.
Hvor alvorligt er det?
CVSS-score er 8,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang til Windows-serveren (AV:L) og lave rettigheder i forvejen (PR:L), men ingen handling fra en bruger (UI:N). Konsekvensen er høj for fortrolighed, integritet og tilgængelighed, fordi angriberen kan overtage Splunk-tjenestens rettigheder fuldt ud. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsestidspunktet, men sårbarheden er relativt let at udnytte for en, der allerede har lokal adgang.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser risikoen, mens I opdaterer:
- Opdatér Splunk Enterprise på Windows til 9.3.14, 9.4.13, 10.0.9, 10.2.6 eller 10.4.2, alt efter hvilken version I kører.
- Gennemgå, hvem der har lokal login-adgang til de Windows-servere, hvor Splunk kører, og fjern unødvendige lokale konti.
- Kontrollér Splunk-tjenestens rettigheder og sørg for, at den ikke kører med unødvendigt høje rettigheder på serveren.
- Gennemgå logfiler for uventede tjenestestarter eller processer, der binder sig til administrationsporten før Splunk selv.
- Overvåg for mistænkelig aktivitet på Splunk-servere i perioden op til opdateringen, hvis opdatering ikke kan ske med det samme.
- Hent hjælp udefra, hvis I ikke selv har ressourcer til at teste og udrulle opdateringen på jeres Splunk-miljø inden for kort tid.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer Splunk Enterprise på Windows-servere til den rettede version snarest muligt, da sårbarheden giver fuld overtagelse af Splunk-tjenestens rettigheder. Det er acceptabelt at vente til et planlagt vedligeholdelsesvindue inden for få dage, forudsat at I i mellemtiden strammer op på, hvem der har lokal adgang til serverne. Har I Splunk Cloud eller kører på Linux, er I ikke berørt og kan se bort fra denne sårbarhed.
Tidslinje
Konkrete eksempler
Lokal medarbejder misbruger adgang til logserver
En dansk kommune kører Splunk som centralt logsystem på en Windows-server, som flere IT-medarbejdere har lokal adgang til. En medarbejder med begrænsede rettigheder udnytter sårbarheden til at opsnappe Splunk-tjenestens godkendelsestoken. Herefter får medarbejderen adgang til logdata fra hele kommunens netværk, herunder følsomme oplysninger om borgere og systemer, som vedkommende ellers ikke havde adgang til.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er berørt, hvis I kører Splunk Enterprise på en Windows-server i en af de nævnte versionsintervaller. Tjek jeres Splunk-version under Indstillinger eller i systemets versionsinfo, og sammenhold med listen over rettede versioner.
Hvordan tjekker vi, om sårbarheden er udnyttet hos os?
Gennemgå Windows-hændelseslogs for uventede processer, der starter og binder sig til Splunks administrationsport, før Splunk-tjenesten selv starter. Kontrollér også, om Splunk-tjenestekontoen har udført handlinger, som ikke stemmer overens med normal drift.
Kan vi vente til weekenden med at opdatere?
Ja, hvis I i mellemtiden begrænser lokal adgang til de berørte Windows-servere til et minimum og overvåger for usædvanlig aktivitet. Kræver angrebet i forvejen lokal adgang, er risikoen lavere, hvis kun betroede medarbejdere har den adgang.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I finder konkrete tegn på, at sårbarheden faktisk er blevet udnyttet, og at persondata eller kritiske systemer er kompromitteret. Er der ingen tegn på udnyttelse, er en opdatering tilstrækkelig.
Påvirker sårbarheden Splunk Cloud eller andre platforme?
Nej, sårbarheden er specifik for Splunk Enterprise installeret på Windows. Splunk Cloud samt installationer på Linux og macOS er ikke berørt.
Hvad koster det at vente for længe med at opdatere?
Jo længere Splunk-serveren kører uopdateret, jo længere er tidsvinduet, hvor en lokal bruger eller en angriber med fodfæste på serveren kan overtage Splunk-tjenestens rettigheder og få adgang til al logdata i organisationen.
Ramte produkter
Splunk: Splunk
≥ 9.3.0, < 9.3.14
Splunk: Splunk
≥ 9.4.0, < 9.4.13
Splunk: Splunk
≥ 10.0.0, < 10.0.9
Splunk: Splunk
≥ 10.2.0, < 10.2.6
Splunk: Splunk
≥ 10.4.0, < 10.4.2
Microsoft: Windows
–
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
In Splunk Enterprise for Windows versions below 10.4.2, 10.2.6, 10.0.9, 9.4.13, and 9.3.14, a local user with access to the Windows host could bind to the management port before Splunk Enterprise starts, intercept authentication tokens from child processes, and use those tokens to compromise all relevant data and system integrity available to the user account running Splunk Enterprise. The vulnerability is possible because the Windows management-port listener does not apply exclusive address binding protections before the service starts.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.