رفع آسیب‌پذیری‌های امنیتی Splunk Enterprise؛ هشدار درباره نقص بحرانی با امتیاز ۹.۸
شرکت اسپلانک (Splunk) در ۷ اکتبر ۲۰۲۶، توصیه‌نامه امنیتی SVD-2026-1001 را منتشر کرد. این شرکت با انتشار به‌روزرسانی‌های جدید، چندین آسیب‌پذیری امنیتی را در نرم‌افزار Splunk Enterprise برطرف کرد. این مجموعه شامل یک نقص بحرانی با شناسه CVE-2026-76268 و امتیاز ۹.۸ و یک آسیب‌پذیری با شدت بالا با شناسه CVE-2026-76266 و امتیاز ۷.۷ است.
مهم‌ترین نقص این مجموعه می‌تواند به مهاجم اجازه دهد بدون احراز هویت، از طریق رابط شبکه‌ای آسیب‌پذیر، فرمان‌های سیستم‌عامل را اجرا کند. آسیب‌پذیری دیگر نیز در شرایط مشخص، خطر ارتقای سطح دسترسی محلی تا سطح root را به همراه دارد. راهبران امنیت شبکه و مدیران سامانه‌ها در ایران باید نسخه‌های نصب‌شده را بررسی کنند و نصب به‌روزرسانی‌های امنیتی را در اولویت قرار دهند.
آسیب‌پذیری بحرانی Splunk؛ اجرای فرمان بدون احراز هویت
آسیب‌پذیری CVE-2026-76268 با امتیاز ۹.۸ از ۱۰، مهم‌ترین نقص امنیتی این توصیه‌نامه است. این آسیب‌پذیری در رابط REST API مربوط به Patroni در Splunk Enterprise قرار دارد. ریشه مشکل، نبود احراز هویت برای برخی عملیات حساس پیکربندی است.
مهاجم برای بهره‌برداری از این نقص، باید به رابط آسیب‌پذیر Patroni روی یکی از اعضای خوشه Search Head دسترسی شبکه‌ای داشته باشد. در این شرایط، مهاجم می‌تواند بدون ورود به سامانه، فرمان‌های دلخواه سیستم‌عامل را اجرا کند. چنین حمله‌ای ممکن است محرمانگی، یکپارچگی و دسترس‌پذیری سامانه را به خطر بیندازد.
این نقص نسخه‌های Splunk Enterprise پایین‌تر از 10.4.3 و 10.2.7 را تحت تأثیر قرار می‌دهد.
Splunk یک راهکار کاهش ریسک نیز ارائه کرده است. سازمان‌هایی که از Edge Processor، OpAmp یا خطوط پردازش داده SPL2 استفاده نمی‌کنند، می‌توانند PostgreSQL sidecar را غیرفعال کنند. برای این کار، مدیر سامانه باید مقدار disabled = true را در بخش [postgres] فایل server.conf قرار دهد و Splunk Enterprise را مجدداً راه‌اندازی کند.
آسیب‌پذیری با شدت بالا؛ ارتقای سطح دسترسی تا root در Linux
آسیب‌پذیری CVE-2026-76266 با امتیاز ۷.۷ از ۱۰ در گروه نقص‌های با شدت بالا قرار می‌گیرد. این نقص به فرایند ارتقای بسته‌های مبتنی بر Linux راهکار Splunk Enterprise مربوط است.
در شرایط مشخص، یک کاربر محلی می‌تواند محتوای نصب Splunk را تغییر دهد. سپس، اگر مدیر سامانه بسته آسیب‌پذیر را ارتقا دهد، اسکریپت نگه‌داری بسته ممکن است فرمان‌های تحت کنترل مهاجم را با سطح دسترسی root اجرا کند. علت اصلی، اعتماد اسکریپت ارتقا به محتوای موجود در مسیر نصب است.
با این حال، بهره‌برداری از این آسیب‌پذیری به پیش‌شرط‌هایی نیاز دارد. کاربر محلی باید بتواند محتوای نصب را تغییر دهد و عملیات ارتقای بسته نیز پس از آن انجام شود. بنابراین، این نقص به‌تنهایی امکان ارتقای سطح دسترسی در هر زمان را فراهم نمی‌کند.
این آسیب‌پذیری نسخه‌های تحت Linux راهکار Splunk Enterprise پایین‌تر از 10.4.3، 10.2.7، 10.0.10 و 9.4.15 را در شاخه‌های مربوطه تحت تأثیر قرار می‌دهد. Splunk استفاده از فایل آرشیو tar به‌جای بسته Linux را نیز به‌عنوان راهکار جایگزین ارتقا پیشنهاد می‌کند.
سایر آسیب‌پذیری‌های Splunk Enterprise
توصیه‌نامه SVD-2026-1001 چندین نقص دیگر را نیز پوشش می‌دهد. این موارد عمدتاً به کنترل دسترسی، افشای اطلاعات و اعتبارسنجی ورودی‌ها مربوط هستند.
از جمله مهم‌ترین موارد می‌توان به این آسیب‌پذیری‌ها اشاره کرد:
-
CVE-2026-76265: ضعف کنترل دسترسی در رابط‌های REST برنامه Splunk Secure Gateway؛ این نقص می‌تواند به کاربران فاقد نقش‌های مدیریتی مشخص اجازه دهد به قابلیت‌های دارای دسترسی ویژه برسند.
-
CVE-2026-76270: تزریق SQL در کاتالوگ ماژول SPL2 که می‌تواند دسترسی به داده‌های مرتبط، از جمله تعریف‌های خصوصی ماژول‌ها، را تحت تأثیر قرار دهد.
-
CVE-2026-76274: آسیب‌پذیری جعل درخواست سمت سرور (SSRF) که ممکن است به افشای توکن API پیکربندی‌شده برای Splunk Observability Cloud منجر شود.
-
CVE-2026-76280: تخصیص نادرست مجوزها در مجموعه‌های داده Splunk Secure Gateway که می‌تواند امکان تغییر برخی اطلاعات هشدارها و گیرندگان اعلان‌ها را فراهم کند.
-
CVE-2026-76269: ضعف کنترل دسترسی در بازیابی اطلاعات وظایف جست‌وجو که ممکن است اطلاعات مربوط به جست‌وجوهای کاربران دیگر را در اختیار کاربران فاقد نقش‌های مدیریتی مشخص قرار دهد.
Splunk شدت این موارد را عمدتاً متوسط اعلام کرده است. بنابراین، راهبران باید آن‌ها را از دو نقص بحرانی و با شدت بالای این مجموعه تفکیک کنند.
نسخه‌های آسیب‌پذیر و نسخه‌های اصلاح‌شده
Splunk چهار نسخه اصلاح‌شده را برای شاخه‌های مختلف Enterprise معرفی کرده است. راهبران باید نسخه نصب‌شده را با جدول زیر تطبیق دهند.
| شاخه محصول | نسخه‌های آسیب‌پذیر | نسخه اصلاح‌شده |
|---|---|---|
| Splunk Enterprise 10.4 | 10.4.0 تا 10.4.2 | 10.4.3 |
| Splunk Enterprise 10.2 | 10.2.0 تا 10.2.6 | 10.2.7 |
| Splunk Enterprise 10.0 | 10.0.0 تا 10.0.9 | 10.0.10 |
| Splunk Enterprise 9.4 | 9.4.0 تا 9.4.14 | 9.4.15 |
این جدول محدوده نسخه‌های اعلام‌شده در توصیه‌نامه را نشان می‌دهد. با این حال، نسخه اصلاح‌شده هر آسیب‌پذیری ممکن است با توجه به مؤلفه درگیر تفاوت داشته باشد. برای نمونه، برخی نقص‌ها به Splunk Secure Gateway مربوط هستند و به‌روزرسانی جداگانه این برنامه را نیز می‌طلبند.
توصیه‌های امنیتی برای راهبران شبکه در ایران
سازمان‌های ایرانی که از Splunk Enterprise برای تحلیل رخدادها، پایش زیرساخت یا مدیریت اطلاعات امنیتی استفاده می‌کنند، بهتر است اقدامات زیر را در برنامه اصلاح آسیب‌پذیری خود قرار دهند:
-
شناسایی نسخه‌ها: نسخه Splunk Enterprise و سیستم‌عامل میزبان را بررسی کنید. سپس، نسخه نصب‌شده را با محدوده آسیب‌پذیر هر شناسه CVE تطبیق دهید.
-
اولویت‌بندی اصلاحات: رفع CVE-2026-76268 را در اولویت قرار دهید؛ زیرا این نقص بحرانی امکان اجرای فرمان‌های سیستم‌عامل را بدون احراز هویت فراهم می‌کند. پس از آن، اصلاح CVE-2026-76266 و سایر نقص‌های مرتبط را پیگیری کنید.
-
بررسی دسترسی شبکه: دسترسی شبکه‌ای به رابط Patroni را ارزیابی کنید. دسترسی به رابط‌های مدیریتی و سرویس‌های حساس را به سامانه‌ها و کاربران مجاز محدود نگه دارید.
-
اجرای به‌روزرسانی: Splunk Enterprise را به نسخه اصلاح‌شده متناسب با شاخه نصب‌شده ارتقا دهید. برای مؤلفه‌هایی مانند Splunk Secure Gateway نیز نسخه اصلاح‌شده مربوطه را نصب کنید.
-
بررسی تنظیمات تکمیلی: راهکارهای کاهش ریسک اعلام‌شده برای هر CVE را بررسی کنید. در صورت استفاده از روش جایگزین ارتقا یا غیرفعال‌سازی مؤلفه‌ها، اثر آن بر سرویس‌های وابسته را نیز بسنجید.
توصیه‌نامه ارسالی، بهره‌برداری فعال از این آسیب‌پذیری‌ها را تأیید نمی‌کند. با این حال، شدت نقص بحرانی و امکان اجرای فرمان‌های سیستم‌عامل، بررسی سریع وضعیت سامانه‌های آسیب‌پذیر را ضروری می‌کند.
برای دریافت جزئیات فنی، فهرست کامل شناسه‌های CVE و راهکارهای اصلاح، به توصیه‌نامه رسمی امنیتی Splunk با شناسه SVD-2026-1001 مراجعه کنید.