Splunkが提供する「SOAR」や「AD」の連携ソフトに脆弱性

Splunkは、「SOAR」や「Active Directory」との連携に用いるソフトウェアに脆弱性が明らかになったとしてアップデートをリリースした。

「Splunk Supporting Add-on for Active Directory（SA-ldapsearch）」において、正規表現の処理に問題があり、サービス拒否に陥る脆弱性「CVE-2025-0367」が判明した。

特定の入力パターンによりアドオンの処理を停止させる「ReDoS攻撃」に悪用されるおそれがある。

また「Splunk App for SOAR」では、権限昇格の脆弱性「CVE-2025-22621」が判明。一部ドキュメントで「splunk_app_soar」ロールに「admin_all_objects」を追加することが推奨されていたが、同設定により権限の昇格が可能になることが判明した。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2025-0367」が「6.5」、「CVE-2025-22621」が「6.4」と評価されている。いずれも重要度は「中（Medium）」とレーティングした。

同社は、脆弱性を修正した「Splunk App for SOAR 1.0.71」「SA-ldapsearch 3.1.1」を提供している。「Splunk App for SOAR」に関しては、ロール設定へ変更を加えている場合、アップデート前にロールの削除など作業が必要となるため注意が必要。

（Security NEXT - 2025/01/20 ）ツイート