CVE-2026-76311: Kritisk adgangsfejl i Splunk Enterprise

CVE-2026-76311 er en fejl i adgangskontrollen i Splunk Enterprise, det platform mange virksomheder bruger til logopsamling og analyse. En indlejret rapport er en rapport, der vises i et eksternt system via et rapport-token uden almindeligt login. Fejlen sidder i den funktion, der leverer et dispatch-arkiv, en zip-fil med resultater og sessionsdata fra en kørt rapport. Systemet begynder at sende arkivet, før det tjekker, om anmodningen faktisk må hente det. En bruger, der kun har adgang til rapport-tokenet, kan derfor hente arkivet og finde sessionsmateriale, som giver adgang til langt mere data på Splunk-installationen end tiltænkt.

Sårbarheden findes i Splunk Enterprise i versioner under 10.4.2, 10.2.6, 10.0.9 og 9.4.14. Det rammer især virksomheder og kommuner, der bruger indlejrede rapporter i dashboards eller på eksterne portaler, hvor rapport-tokens deles med brugere, kunder eller samarbejdspartnere uden fuldt login til Splunk.

En person, der kun har fået et rapport-token, kan udnytte sessionsmateriale fra dispatch-arkivet til at få adgang til alle relevante data på Splunk-installationen, herunder logs fra andre systemer, og til at ændre data i platformen. For en dansk virksomhed betyder det, at fortrolige logdata, adgangsoplysninger eller forretningsdata i Splunk kan blive læst eller manipuleret af en person, der aldrig havde et rigtigt brugerlogin.

CVSS-scoren er 9,4 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen brugerhandling og kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er høj for fortrolighed og integritet af data, og lav for tilgængelighed. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes, men den kræver kun, at en angriber har et rapport-token, hvilket i praksis kan være let at opnå, hvis tokens deles bredt.

Sårbarheden lukkes ved opdatering, ikke ved workaround. Gør følgende:

1. Opdatér Splunk Enterprise til version 10.4.2, 10.2.6, 10.0.9 eller 9.4.14, afhængigt af hvilken linje I kører.
2. Gennemgå, hvilke indlejrede rapporter og rapport-tokens der er aktive, og inddrag tokens, der ikke længere er nødvendige.
3. Kontrollér logs for uventede downloads af dispatch-arkiver før opdateringen, særligt fra ukendte IP-adresser eller uden tilhørende brugerlogin.
4. Begræns, hvor og til hvem indlejrede rapporter deles, indtil opdateringen er gennemført.
5. Er I i tvivl om, hvilken version I kører, eller om jeres Splunk-installation er eksponeret mod internettet, bør I få en sikkerhedspartner til at vurdere risikoen og hjælpe med opdateringen.