Kerngegevens
- Leverancier
- Cisco
- Product
- Splunk SOAR
- Soort software
- netwerk
- Getroffen versies
- Splunk SOAR lager dan 8.7.0
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Splunk SOAR 8.7.0
- CVE gepubliceerd
- 21 oktober 2026
- Gepubliceerd op LekkenRadar
- 22 oktober 2026
- Laatst gewijzigd bij NVD
- 22 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Splunk SOAR versies lager dan 8.7.0 kan een gebruiker met een bepaalde rol via de REST API authenticatietokens van andere gebruikers afleiden. Heeft zo'n token beheerdersrechten, dan kan die gebruiker beheerder worden van de Splunk SOAR-omgeving. De oorzaak is dat de REST API zoekfilters accepteert op gevoelige velden van gebruikersgegevens.
Wie loopt risico?
Je loopt risico als je Splunk SOAR gebruikt in een versie lager dan 8.7.0. De aanvaller moet wel al een account hebben met een rol die de rechten 'Users and Roles view' bevat en toegang hebben tot de REST API. Het gaat dus vooral om misbruik door een gebruiker die al binnen is, of door iemand die zo'n account in handen krijgt. Er is volgens de gegevens geen actief misbruik bekend.
Wat moet je doen?
Werk Splunk SOAR bij
Update naar versie 8.7.0, waarin dit lek is opgelost. Controleer eerst welke versie je nu draait.
Controleer rollen met leesrechten op gebruikers
Kijk welke rollen de permissie 'Users and Roles view' hebben en welke gebruikers die rollen krijgen. Haal die rechten weg waar ze niet nodig zijn.
Beperk de toegang tot de REST API
Zorg dat alleen de systemen en personen die het nodig hebben bij de REST API van je Splunk SOAR-omgeving kunnen, zolang je nog niet bijgewerkt hebt.
Lees het advies van de leverancier
Raadpleeg het Splunk-advies SVD-2026-1010 voor de details en eventuele aanvullende aanwijzingen.
Dezelfde update lost meer lekken op
SOAR 8.7.0 verhelpt ook een informatielek via REST API-filters voor de rol Observer (CVE-2026-76306, https://lekkenradar.nl/cve/cve-2026-76306/). Alle Splunk-lekken van oktober: https://lekkenradar.nl/splunk-beveiligingsupdates-oktober-2026/
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De REST API van Splunk SOAR accepteert door de aanroeper bepaalde queryfilters op gevoelige velden van gebruikersrecords. Een gebruiker met de permissie 'Users and Roles view' kan daardoor met gerichte filters stapsgewijs afleiden welke waarde een authenticatietoken van een andere gebruiker heeft. Dit is een vorm van het blootstellen van gevoelige informatie aan een onbevoegde partij (CWE-200). Als het afgeleide token administratieve rechten geeft, kan de aanvaller de omgeving als beheerder overnemen. De CVSS-vector (AV:N/AC:L/PR:H/UI:N) geeft aan dat de aanval via het netwerk kan, laag complex is, hoge rechten vereist en geen gebruikersinteractie nodig heeft.
CVSS-vector (versie 3.1, basisscore 7,2, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-200 · Blootstelling van gevoelige informatie aan een onbevoegde partij
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee