Splunk の脆弱性 CVE-2026-20296／20297／20298 が FIX：パストラバーサルや認証情報漏洩の恐れ

Multiple Splunk Enterprise Vulnerabilities Enable Path Traversal and Information Disclosure Attacks

2026/07/16 CyberSecurityNews — Splunk が公表したのは、同社の Enterprise／Cloud Platform に存在する複数の脆弱性に対処するセキュリティ更新のリリースであり、 3 件の脆弱性を修正している。これらの脆弱性が悪用されると、パストラバーサル／保存された認証情報ハッシュの漏洩／SPL (Search Processing Language) 検索の任意実行といった問題が引き起こされる恐れがある。

これらの問題は、REST API および Splunk Web コンポーネントに影響するものである。具体的には、機密性の高いデータへのアクセス／意図しないディレクトリへのファイルの書き込み／任意の検索の実行などを、認可されたユーザーまたはフィッシング攻撃者に対して許す可能性がある。

Splunk Enterprise の複数の脆弱性

最も深刻な脆弱性 CVE-2026-20296 (SVD-2026-0702) は、CVSS スコア 8.3 (High) と評価されている。この脆弱性は、Splunk Web 内の Deployment Server コンポーネントに影響を及ぼす。

認証されていない攻撃者が、list_deployment_server capability を持つユーザーをだまし、悪意のリンクまたは Web ページを開かせることで、この欠陥を悪用する可能性がある。

この攻撃で悪用されるのは、GET リクエストにおける CSRF (Cross-Site Request Forgery) 検証の欠如と、SPL 検索におけるユーザー制御入力の処理不足である。

悪用に成功した攻撃者は、splunk-system-user として任意の SPL 検索を実行できるため、インデックス化されたデータおよび保存された認証情報が露出する恐れがある。

ただし、この悪用にはユーザー操作が必要である。そのため、事前に標的をフィッシングなど侵害した攻撃者が、この問題をリモートから悪用できるようになる。

2つ目の脆弱性 CVE-2026-20297 (SVD-2026-0703) は、CVSS スコア 7.2 (High) と評価されるパストラバーサルの欠陥である。この問題は App Install REST エンドポイントに存在し、explicit_appname パラメータに関係する。

edit_local_apps と install_apps を実行できるユーザーであれば、有効なアプリのインストール中に、この欠陥の悪用が可能になる。

この脆弱なワークフローにより、意図されたアプリケーション・ディレクトリの外側に、つまり $SPLUNK_HOME/etc/ ディレクトリまたはサブディレクトリの外側に、ファイルが書き込まれる可能性がある。それにより、アプリケーション・コンフィグなどの機密性の高い Splunk ファイルに影響が及ぶ恐れがある。

3つ目の脆弱性 CVE-2026-20298 (SVD-2026-0704) は、CVSS スコア 5.3 と評価される Medium レベルの情報漏洩の欠陥である。admin または power ロールを持たない低権限ユーザーであっても、”| rest SPL” コマンドを通じて “/servicesNS/-/-/storage/passwords REST” エンドポイントへアクセスする可能性がある。

このエンドポイントは、encr_password フィールドを返すとされるため、それにより保存された認証情報ハッシュが未認可ユーザーへ露出する可能性が生じる。この欠陥には認証が必要であり、攻撃複雑度は高いと評価されているが、露出したハッシュにより、オフラインでのパスワード・クラッキング試行といった、さらなる侵害が生じる可能性がある。

Splunk Enterprise ユーザーに推奨されるのは、修正済みリリースである 10.4.1／10.2.5／10.0.8／9.4.13 以降へとアップグレードすることである。パストラバーサルの問題は、9.3 ブランチにも影響するため、この場合にはバージョン 9.3.14 へのアップデートが必要となる。

脆弱性 CVE-2026-20298 に対応する管理者は、”limits.conf” において [storage_passwords_masking] スタンザ配下に “mask_encr_password = true” を設定し、その後に Splunk Enterprise を再起動する必要がある。

Splunk Cloud Platform の顧客については、すでに Splunk により、パッチ適用と監視が行われている。また、脆弱性 CVE-2026-20296 に対して、迅速なアップデートが不可能な組織は、不要な場所における Splunk Web の無効化により露出を低減できる。

大規模なログ管理やデータ分析に欠かせない統合プラットフォーム Splunk Enterprise に、重要コンポーネントに影響を及ぼす複数の欠陥が見つかりました。システムへ集約される機密情報が高価値な標的になりやすく、管理機能の隙が狙われやすいという背景があります。今回の脆弱性 CVE-2026-20296 などが悪用されると、フィッシング経由の遠隔操作で任意の検索を実行され、保存されたパスワードのハッシュが窃取される恐れがあります。対応策として、開発元から配布されている最新の修正済みバージョンへ速やかにアップグレードし、設定ファイルの変更による緩和策も適用する必要があります。よろしければ、Splunk での検索結果も、ご参照ください。