Alertes de sécurité majeures sur les solutions Splunk : risques critiques et correctifs urgents

Contexte et enjeux

Le Centre d'expertise gouvernemental de réponse et de traitement des attaques informatiques (CERT-FR) a publié un avis d'urgence concernant des vulnérabilités multiples affectant les solutions Splunk. Ces failles, identifiées dans plusieurs composants logiciels, exposent les infrastructures à des risques majeurs pour la sécurité des données et la continuité des services.

Risques identifiés

Les vulnérabilités recensées permettent à des attaquants de réaliser les actions suivantes :

• Exécution de code arbitraire à distance : compromission totale des systèmes concernés ;
• Élévation de privilèges : prise de contrôle accrue sur les environnements affectés ;
• Atteinte à la confidentialité des données : exposition ou vol d'informations sensibles ;
• Déni de service : interruption des services critiques ;
• Contournement de la politique de sécurité : contournement des mesures de protection mises en place ;
• Falsification de requêtes côté serveur (SSRF) : manipulation des requêtes pour accéder à des ressources internes ;
• Injection de code indirecte à distance (XSS) : exécution de scripts malveillants dans les interfaces utilisateur ;
• Injection de requêtes illégitimes par rebond (CSRF) : usurpation de requêtes authentifiées ;
• Injection SQL (SQLi) : manipulation des bases de données sous-jacentes.

Produits et versions concernés

Les vulnérabilités impactent un large éventail de solutions Splunk, notamment :

• Splunk Enterprise (versions antérieures à 10.4.2, 10.2.6, 10.0.9 et 9.4.14) ;
• Splunk Universal Forwarder (versions antérieures à 10.4.2, 10.2.6 et 9.4.14) ;
• Splunk Enterprise Security (versions antérieures à 8.6.1) ;
• Splunk SOAR (versions antérieures à 8.6.0) ;
• Splunk AI Toolkit (versions antérieures à 6.0.1) ;
• Splunk On-Call (VictorOps) (versions antérieures à 1.0.43) ;
• Splunk MCP Server app (versions antérieures à 1.2.1) ;
• Splunk Connect pour Kafka (versions antérieures à 2.2.7) ;
• Applications tierces intégrées à Splunk SOAR, dont :
• AD LDAP app (versions antérieures à 2.3.8) ;
• AWS IAM app (versions antérieures à 2.1.9) ;
• Azure AD Graph app (versions antérieures à 2.5.3) ;
• Cisco Secure Malware Analytics app (versions antérieures à 2.4.5) ;
• Cisco Talos Intelligence pour Enterprise Security Cloud (versions antérieures à 1.0.3) ;
• Cisco Webex app (versions antérieures à 2.2.1) ;
• CrowdStrike OAuth API app (versions antérieures à 5.1.3) ;
• FireAMP (versions 2.1.x antérieures à 2.1.15) ;
• MS Graph pour Active Directory app (versions antérieures à 1.5.2) ;
• Nmap Scanner (versions 3.0.x antérieures à 3.0.15) ;
• Phantom app (versions antérieures à 3.8.5) ;
• RSA SecurID Authentication Manager app (versions antérieures à 1.0.5) ;
• Splunk Attack Analyzer Connector pour Splunk SOAR (versions 2.2.x antérieures à 2.2.1) ;
• Venafi app (versions antérieures à 2.1.4) ;
• Zoom app (versions antérieures à 3.2.2).

Mesures recommandées

Face à ces risques, le CERT-FR recommande aux organisations utilisant les solutions Splunk concernées de :

• Appliquer sans délai les correctifs publiés par l'éditeur, en se référant aux bulletins de sécurité associés ;
• Identifier les versions exposées dans leur environnement et prioriser les mises à jour en fonction des risques encourus ;
• Renforcer les contrôles d'accès et les politiques de sécurité pour limiter l'impact potentiel des vulnérabilités ;
• Surveiller activement les activités suspectes via les outils de détection et de réponse aux incidents.

Documentation et ressources

Les bulletins de sécurité Splunk détaillant les correctifs sont disponibles pour chaque vulnérabilité identifiée. Les organisations sont invitées à consulter ces documents pour appliquer les mesures correctives adaptées.

Source : ANSSI / CERT-FR — Alertes & avis