CVE-2026-76310: Kritisk adgangsfejl i Splunk Enterprise

CVE-2026-76310 er en adgangskontrolfejl (CWE-284) i Splunk Enterprise. Splunk bruges af mange virksomheder til at samle og analysere logdata fra it-systemer, og funktionen ’embedded reports’ gør det muligt at vise en rapport indlejret på en ekstern side via et adgangstoken uden almindeligt login. Problemet er, at dette token også giver adgang til at hente den bagvedliggende ‘dispatch archive’, en arkivfil med søgejobbets resultater og sessionsmateriale. Den, der har token, kan derfor genbruge sessionen og optræde som rapportens ejer i Splunk, inklusive med ejerens eventuelle administratorrettigheder.

Det rammer Splunk Enterprise-installationer under version 10.4.2, 10.2.6, 10.0.9 og 9.4.14, hvor funktionen embedded reports er i brug. Det gælder typisk it-afdelinger og driftscentre, der deler dashboards eller rapporter fra Splunk med kolleger, kunder eller på skærme i receptionen uden at kræve login. Risikoen er størst, hvis den, der har oprettet rapporten, selv har Splunk-rollen ‘admin’.

En person, der kender eller finder et embedded report-token, kan hente arkivfilen bag rapporten via Splunks REST API, uden at logge ind. Arkivet indeholder sessionsmateriale, som kan bruges til at få adgang til alt data, rapportens ejer normalt kan se, og til at udføre handlinger i systemet med ejerens rettigheder. Er ejeren administrator, kan angriberen i praksis overtage hele Splunk-installationen, ændre konfiguration, oprette nye brugere eller slette data.

CVSS-score er 9,4 ud af 10, kritisk. Sårbarheden kræver hverken login eller brugerhandling, og den kan udnyttes over netværket med lav kompleksitet. Fortrolighed og integritet er ramt i høj grad, mens tilgængelighed kun rammes i lav grad. Der er ikke belæg for, at sårbarheden aktivt udnyttes ved offentliggørelsen, men den lave adgangsbarriere gør den attraktiv for angribere, så snart detaljer er kendte.

Vi anbefaler følgende rækkefølge:

1. Opdatér Splunk Enterprise til version 10.4.2, 10.2.6, 10.0.9, 9.4.14 eller nyere, afhængigt af jeres nuværende sportsgren.
2. Gennemgå, hvilke rapporter der bruger embedded reports, og hvem der ejer dem.
3. Sørg for, at rapportejere ikke har rollen admin, medmindre det er strengt nødvendigt.
4. Inaktiver eller genskab embedded report-tokens, der har været delt bredt eller offentligt.
5. Gennemgå Splunk-logfiler for uventede REST API-kald til dispatch archive-endepunktet før opdateringen.
6. Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan verificere, om embedded reports har været misbrugt, eller hvis opdateringen kræver planlagt driftsstop.