Splunk ha lanzado actualizaciones de seguridad para solucionar múltiples vulnerabilidades en Splunk Enterprise, Splunk Cloud Platform y el Splunk AI Toolkit que podrían provocar condiciones de denegación de servicio (DoS) y la exposición de datos sensibles.

Los problemas, revelados el 20 de mayo de 2026, incluyen tres vulnerabilidades rastreadas: CVE-2026-20238, CVE-2026-20239 y CVE-2026-20240.

Fallo de acceso en Splunk AI Toolkit (CVE-2026-20238)

Un fallo de severidad media (CVSS 6.5) afecta a las versiones del Splunk AI Toolkit anteriores a la 5.7.3. El problema surge de un control de acceso inadecuado causado por una herencia de roles mal configurada.

Específicamente, el toolkit modifica el rol de 'usuario' predeterminado utilizando un archivo authorize.conf con una entrada srchFilter.

Debido a que Splunk combina los filtros de búsqueda heredados utilizando el operador OR, esta configuración puede anular filtros más restrictivos aplicados a roles personalizados.

Como resultado, los usuarios con bajos privilegios que no tengan roles de 'administrador' o 'power' podrían obtener acceso a datos sensibles que deberían estar restringidos.

Splunk ha corregido este problema en la versión 5.7.3. Como mitigación temporal, puedes desactivar el AI Toolkit o modificar manualmente el archivo authorization.conf para eliminar o anular el ajuste srchFilter.

Sin embargo, esta solución temporal puede exponer el ai_agent_run_history_index a un acceso más amplio, lo que requeriría restricciones adicionales.

Exposición de datos sensibles a través de registros (CVE-2026-20239)

Una vulnerabilidad de severidad alta (CVSS 7.5) afecta a Splunk Enterprise y Splunk Cloud Platform.

El fallo es causado por una sanitización inadecuada de la salida en el componente TcpChannel, que registra todo el búfer de entrada/salida cuando ocurren errores de socket.

Los atacantes con acceso al índice _internal pueden recuperar información sensible, como cookies de sesión y cuerpos de respuesta HTTP, desde los archivos de registro. Esto aumenta significativamente el riesgo de robo de credenciales y secuestro de sesiones.

Las versiones afectadas incluyen:

• Splunk Enterprise inferior a 10.2.2 y 10.0.5.
• Versiones de Splunk Cloud Platform anteriores a múltiples lanzamientos parcheados en las ramas compatibles.

Splunk te recomienda actualizar a las versiones parcheadas más recientes y restringir el acceso al índice _internal únicamente a roles administrativos.

Denegación de servicio en Splunk Archiver (CVE-2026-20240)

Otro problema de severidad alta (CVSS 7.1) afecta a la aplicación Splunk Archiver debido a una validación de entrada incorrecta en el script coldToFrozen.sh. Este script se utiliza para gestionar las transiciones del ciclo de vida de los datos.

Un usuario con bajos privilegios puede explotar este fallo suministrando rutas de archivos arbitrarias, lo que le permite renombrar directorios críticos. Esto puede hacer que la instancia de Splunk quede inoperable, resultando en una condición de denegación de servicio.

La vulnerabilidad afecta a múltiples versiones de Splunk Enterprise (anteriores a 10.2.2, 10.0.5, 9.4.11 y 9.3.12) y despliegues de Splunk Cloud Platform.

Se aconseja a las organizaciones aplicar los parches inmediatamente o desactivar la aplicación Splunk Archiver si no es necesaria. Sin embargo, desactivar la aplicación puede interrumpir los flujos de trabajo automatizados de archivado de datos.

Splunk te insta encarecidamente a:

• Actualizar todos los componentes afectados a las versiones seguras más recientes.
• Restringir el acceso a índices sensibles como _internal.
• Revisar los controles de acceso basados en roles y los permisos heredados.
• Desactivar las aplicaciones vulnerables si los parches no pueden aplicarse de inmediato.

Estas vulnerabilidades resaltan los riesgos asociados con los controles de acceso mal configurados, la validación de entrada insuficiente y las prácticas de registro inseguras.

El parcheo oportuno y una gestión adecuada de la configuración siguen siendo críticos para proteger tus entornos de Splunk contra la explotación.