Splunk Enterprise: verificare le azioni di sessione

Pubblicato · Aggiornato · Servizi connessi · 5 min di lettura · Di Cyber Intelligence Embassy

In sintesi

Splunk Enterprise: falsificazione di richieste tra siti CSRF. Il caso del 2026-07-18 esamina 14 voci di versione e 31 CVE, versioni documentate e verifiche per strumenti di rilevamento, partendo da CERTFR-2026-AVI-0888.

Illustrazione IA: ambiente tecnologico di sicurezza informatica scuro con luci dorate Illustrazione · scena fittizia
In questo articolo

Retrospettiva del 2026-07-18, realizzata il 27 ottobre 2026. La data indica il giorno analizzato; pubblicazione e revisione delle fonti sono riportate sotto.

Cosa cambia nell’ambiente operativo

Il punto di partenza è CERTFR-2026-AVI-0888, pubblicato il 2026-07-16. L’ambito comprende Splunk Enterprise, Splunk Universal Forwarder, Splunk Cloud Platform. Le conseguenze indicate sono falsificazione di richieste tra siti CSRF, alterazione dei dati, impatto da chiarire con il produttore, perdita di riservatezza. Riguardano l’ambito del bollettino: non si attribuisce ogni conseguenza a ogni prodotto o CVE.

Il caso raccoglie 14 voci di versione; numero di identificativi CVE: 31. Seguite la correzione per componente: un aggiornamento complessivo riuscito non prova che Splunk Enterprise e Splunk Cloud Platform abbiano ricevuto ciascuno la propria correzione.

Prodotti e versioni da esaminare

Riferimento
CERTFR-2026-AVI-0888
Prima pubblicazione della fonte
2026-07-16
Ultima revisione disponibile per questa giornata
2026-07-16
Componenti citati
Splunk Enterprise, Splunk Universal Forwarder, Splunk Cloud Platform
Identificativi CVE
CVE-2026-20296, CVE-2026-8201, CVE-2026-27143, CVE-2026-8200, CVE-2026-6914, CVE-2026-24051, CVE-2026-6915, CVE-2026-27144, CVE-2026-32283, CVE-2026-20297, CVE-2026-32285, CVE-2026-39883, CVE-2026-32281, CVE-2026-28389, CVE-2026-34986, CVE-2026-8053, CVE-2026-8199, CVE-2026-28388, CVE-2026-32280, CVE-2026-29181, CVE-2026-28390, CVE-2026-32287, CVE-2026-39836, CVE-2025-47913 … (+7)
ComponenteCondizione pubblicata
Splunk Enterprise9.3.x : < 9.3.14
Splunk Universal Forwarder10.4.x : < 10.4.1
Splunk Cloud Platform10.3.2512.x : < 10.3.2512.16
Splunk Enterprise9.4.x : < 9.4.13
Splunk Cloud Platform10.4.2604.x : < 10.4.2604.7
Splunk Universal Forwarder10.0.x : < 10.0.8
Splunk Enterprise10.4.x : < 10.4.1
Splunk Cloud Platform10.1.2507.x : < 10.1.2507.24
Splunk Cloud Platform10.2.2510.x : < 10.2.2510.18
Splunk Universal Forwarder10.2.x : < 10.2.5
Splunk Enterprise10.2.x : < 10.2.5
Splunk Enterprise10.0.x : < 10.0.8
Splunk Universal Forwarder9.4.x : < 9.4.13
Splunk Cloud Platform10.5.2605.x : < 10.5.2605.0

Per Splunk Enterprise, la condizione pubblicata è «9.3.x : < 9.3.14». Confrontate la versione effettivamente caricata nel proprio ramo. Una correzione su un’altra edizione di Splunk Enterprise non chiude questo caso.

Meccanismo e prerequisiti

CSRF può abusare di una sessione autenticata. Verificate origine, token anti-CSRF e cookie nelle azioni sensibili; l’autenticazione non protegge da sola ogni operazione.

La scheda primaria CVE-2026-20296, pubblicata da cisco, riguarda Splunk Enterprise, Splunk Cloud Platform. La revisione utilizzata è del 2026-07-16. Questo ambito è distinto dalle integrazioni e dai raggruppamenti del bollettino CERTFR-2026-AVI-0888.

La valutazione pubblicata per CVE-2026-20296 è CVSS 3.1, 8.3/10. Il vettore descrive prerequisiti tecnici, non frequenza degli attacchi o probabilità di compromissione dell’installazione.

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:L

Vettore di attacco
Non specificato nella fonte utilizzata
Privilegi iniziali
Non specificato nella fonte utilizzata
Interazione utente
Non specificato nella fonte utilizzata
Complessità
Non specificato nella fonte utilizzata
Debolezza
CWE-352

Scegliere l’intervento adeguato

  1. Individuate istanze di Splunk Enterprise, versioni in esecuzione e responsabili. Registrate la condizione 9.3.x : < 9.3.14 insieme a CERTFR-2026-AVI-0888.
  2. Confrontate il ramo installato con le note del produttore di Splunk Enterprise. Preparate il pacchetto corretto e un test del servizio dipendente, conservando lo stato iniziale.
  3. Dopo l’intervento su Splunk Enterprise, rilevate nuovamente la versione caricata e verificate il percorso indicato. Ogni eccezione richiede responsabile, riduzione dell’esposizione e scadenza.

Verificare la correzione nel lavoro reale

Scenario di verifica da adattare a Splunk Enterprise: In un’istanza di prova di Splunk Enterprise, inviate un evento sintetico noto tramite il canale normale. Verificate ricezione, orario e trattamento; controllate che l’aggiornamento del collettore non lasci altri agenti o moduli vulnerabili. È una proposta difensiva, non un’affermazione di test effettuati su sistemi di terzi.

Limite di CERTFR-2026-AVI-0888: questa analisi non sostituisce i prerequisiti del produttore né l’indagine sui log. Sono riprese solo versioni documentate; non si inventano date di attacchi o vittime.

Domande specifiche del caso

Quale condizione verificare per Splunk Enterprise?

CERTFR-2026-AVI-0888 indica Splunk Enterprise — 9.3.x : < 9.3.14. Verificate edizione e versione attiva; non estendete il limite a rami assenti dal bollettino.

Perché non usare una sola correzione per Splunk Enterprise e Splunk Cloud Platform?

CERTFR-2026-AVI-0888 distingue questi componenti in un ambito di 14 voci. Ogni ramo richiede il confronto con le proprie istruzioni e un controllo funzionale.

Quali prerequisiti specifica la scheda CVE-2026-20296?

Per CVE-2026-20296, il vettore pubblicato è CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:L. Verificate queste condizioni su Splunk Enterprise, Splunk Cloud Platform prima di applicarle a un’integrazione citata da CERTFR-2026-AVI-0888.

Fonti e letture collegate

Guida pratica : Preparare i log degli eventi di sicurezza per il rilevamento

Approfondire la decisione di questo caso

Inventario completo dell’avviso originale

La tabella dell’articolo può essere un estratto. Gli elenchi riportano tutte le voci dei sistemi interessati e le CVE della revisione indicata. Non inventariano i vostri asset né associano ogni CVE a ogni prodotto.

Fonte ufficiale · CERTFR-2026-AVI-0888
Revisione dell’avviso : · Verificato il :

Sistemi interessati · 14

Si conserva il testo originale francese per evitare ambiguità nelle condizioni di versione.

  1. Splunk Enterprise versions 9.3.x antérieures à 9.3.14
  2. Splunk Universal Forwarder versions 10.4.x antérieures à 10.4.1
  3. Splunk Cloud Platform versions 10.3.2512.x antérieures à 10.3.2512.16
  4. Splunk Enterprise versions 9.4.x antérieures à 9.4.13
  5. Splunk Cloud Platform versions 10.4.2604.x antérieures à 10.4.2604.7
  6. Splunk Universal Forwarder versions 10.0.x antérieures à 10.0.8
  7. Splunk Enterprise versions 10.4.x antérieures à 10.4.1
  8. Splunk Cloud Platform versions 10.1.2507.x antérieures à 10.1.2507.24
  9. Splunk Cloud Platform versions 10.2.2510.x antérieures à 10.2.2510.18
  10. Splunk Universal Forwarder versions 10.2.x antérieures à 10.2.5
  11. Splunk Enterprise versions 10.2.x antérieures à 10.2.5
  12. Splunk Enterprise versions 10.0.x antérieures à 10.0.8
  13. Splunk Universal Forwarder versions 9.4.x antérieures à 9.4.13
  14. Splunk Cloud Platform versions 10.5.2605.x antérieures à 10.5.2605.0
Identificatori CVE · 31