Splunk Enterprise espone il piano di gestione a input non fidati
Splunk ha corretto in Enterprise un cluster di 60 CVE che rompe i controlli tra input utente e piano di gestione: si può arrivare a leggere dati, cambiare configurazioni ed eseguire SPL con privilegi elevati. Le versioni interessate sono quelle precedenti a 10.4.2, 10.2.6, 10.0.9 e 9.4.14.
Le falle coprono authz debole in REST API, path traversal, injection, XSS e altri difetti di validazione. In pratica, una richiesta, un link o un'interazione con dashboard e search head può essere trattata come affidabile quando non lo è, con effetti che vanno dalla fuga di informazioni alla manipolazione della configurazione e all'esecuzione di comandi nel piano di controllo.
Per chi espone REST API, dashboard o altre interfacce utente di Splunk, il punto non è una sola vulnerabilità isolata ma la superficie amministrativa che resta raggiungibile. La patch chiude il cluster noto; ciò che conta dopo resta il perimetro interno del prodotto e quanto lavoro operativo passa ancora da quelle interfacce.