Sidecar-Angriffsfläche: Die Dienste, die kein Portscan sieht
Ein Advisory von Splunk vom 10. Juni 2026 betraf einen Dienst, den die meisten Betreiber nie bewusst gestartet hatten. Seit Version 10 bringt Splunk Enterprise einen Postgresql-Helfer mit, der im Hintergrund mitläuft und Daten für die Plattform ablegt. Einer seiner Endpunkte prüfte keine Anmeldung. Ein Aufruf von außen genügte, um auf dem Server Dateien anzulegen und bestehende Dateien zu leeren, ganz ohne Zugangsdaten(öffnet im neuen Fenster). Betroffen war ausgerechnet die Software, die in vielen Unternehmen die Protokolle der gesamten Infrastruktur sammelt und als zentrales Security Information and Event Management dient, kurz Siem.
Die US-Sicherheitsbehörde Cisa trug die Lücke am 18. Juni in ihren Katalog der bekannten ausgenutzten Schwachstellen ein, den Kev-Katalog, und gab den Bundesbehörden drei Tage Zeit(öffnet im neuen Fenster). Wie Organisationen mit diesem Katalog arbeiten, beschreibt ein früherer Beitrag (g+). Splunks Sicherheitsteam sprach von begrenzter Ausnutzung, die im Juni bekannt geworden sei. Der Schweregrad lag bei 9,8 von 10 möglichen Punkten(öffnet im neuen Fenster). Zwei Tage nach der Offenlegung hatten Forscher von Watchtowr die technischen Details samt Angriffscode öffentlich gemacht(öffnet im neuen Fenster). Der eigentliche Befund steckt in dem Dienst, der die Lücke mitgebracht hat.