Splunk MCP Server CVE-2026-76404: Patch Triage untuk App MCP

Yang membuat saya membuka advisory ini adalah skornya: 9.1, Critical, untuk app yang tugasnya menghubungkan AI assistant ke Splunk. Lalu saya baca vector-nya dan melihat PR:H, artinya penyerang sudah butuh privilege tinggi. Rating kritis dan syarat admin-only dalam satu baris adalah jenis temuan yang sering salah ditriase, ke dua arah.

Artikel ini membaca advisory resmi Splunk SVD-2026-0808 (terbit 2026-08-19, update terakhir 2026-10-07) bersama dokumentasi setup Splunk MCP Server, CWE-502 dan spesifikasi CVSS 3.1. Saya tidak menjalankan software yang terdampak dan tidak menjelaskan cara mengeksploitasinya. Tujuannya adalah rutinitas patch triage yang bisa dipakai ulang untuk app MCP apa pun.

Apa sebenarnya cakupan SVD-2026-0808

Advisory ini bukan advisory khusus MCP. Isinya bundel berjudul Security Vulnerabilities in Splunk Apps and Add-ons (August 2026) dengan 17 CVE, CVE-2026-76389 sampai CVE-2026-76405, di lima produk. Skor CVSS 3.1 tertingginya 9.1, dan skor itu hanya milik app MCP Server. Catatan perubahan 2026-10-07 hanya menyebut judul disesuaikan dengan standar Cisco Security Advisories, jadi isi teknisnya tidak berubah di bulan Oktober.

Remediasi untuk setiap produk bentuknya sama: upgrade ke versi fix yang tercantum. Perhatikan dua baris AI Toolkit, karena versi dasar menentukan target Anda.

Membaca vector CVE-2026-76404, bukan hanya skornya

Advisory menjelaskan CVE-2026-76404 sebagai remote code execution lewat unsafe deserialization di credential management app MCP Server, dikelompokkan CWE-502, dilacak internal sebagai VULN-84459 dan dikreditkan ke Kuniyoshi Noguchi. Skor 9.1 berasal dari vector di bawah. Dua metrik saling menarik ke arah berlawanan, dan memahami keduanya adalah inti keputusan triase.

# CVE-2026-76404, vector as published in SVD-2026-0808
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

AV:N   reachable over the network
AC:L   no special conditions needed
PR:H   attacker already holds high privileges   <- pulls the score DOWN
UI:N   no user interaction
S:C    crosses a trust boundary                  <- pushes the score UP
C:H I:H A:H   full impact on confidentiality, integrity, availability
# Base score 9.1 = Critical (the spec's Critical band is 9.0 to 10.0)

# Compare CVE-2026-76395 (AI Toolkit, also deserialization, 8.8):
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
# PR:L and S:U. Lower privilege needed, scope unchanged, lower score.

PR:H adalah bagian yang menurunkan angka: menurut spesifikasi CVSS 3.1, penyerang harus sudah memegang privilege signifikan seperti kontrol administratif atas komponen yang rentan. S:C adalah bagian yang menaikkannya: scope change berarti celah melintasi batas kepercayaan dan memengaruhi resource yang dikelola otoritas keamanan lain. Di sini saya membacanya sebagai admin app yang bisa menjangkau host di bawahnya, sehingga dampak confidentiality, integrity dan availability tetap tinggi dan skor jadi 9.1. Interpretasi itu milik saya; teks advisory yang saya baca tidak menjelaskan batasnya secara eksplisit.

Mitigasi Splunk untuk CVE ini lugas: matikan atau hapus app. Tidak ada workaround yang lebih sempit, jadi pilihan realistisnya hanya upgrade ke 1.2.1 atau disable.

Deserialization adalah akar masalah yang berulang

CWE-502 didefinisikan sebagai deserialisasi data tak tepercaya tanpa memeriksa apakah hasilnya valid. Muncul tiga kali di advisory ini dengan nama berbeda: celah credential di MCP Server, REST API model loading di AI Toolkit (CVE-2026-76395, 8.8), dan jalur ketika scheduled search bisa mendeserialisasi file model karena apply search tidak ditandai risky (CVE-2026-76396, 7.5, dikelompokkan CWE-269). File model adalah data pembawa kode, jadi fitur AI yang memuatnya mewarisi seluruh masalah deserialisasi.

Entri AI Toolkit pantas dibuat tabel karena menunjukkan seberapa besar surface satu app ketika menambah agent, container dan upload model. Skor berkisar dari 4.3 sampai 8.8.

Role MCP Server: perkecil kelompok yang bisa menyentuh kredensial

Karena 76404 butuh privilege tinggi, jumlah orang yang memegangnya adalah exposure Anda. Dokumentasi setup Splunk MCP Server 1.3 mendefinisikan dua capability: mcp_tool_execute memberi akses memakai tool MCP dan ditambahkan ke role mana pun yang butuh akses MCP, sedangkan mcp_tool_admin memberi akses administratif untuk manajemen tool dan pembuatan token. Token authentication harus diizinkan di setiap deployment, dan app dipasang di search head atau search head cluster.

Versi 1.3 atau lebih baru juga memungkinkan admin memetakan role Splunk tertentu ke tool MCP di tab Tools app, sehingga user hanya melihat atau menjalankan tool jika salah satu rolenya dipetakan. Saya tidak bisa memastikan dari advisory role mana yang setara dengan syarat PR:H, jadi jangan berasumsi mcp_tool_admin adalah gerbang yang tepat. Anggap pembacaan aman: siapa pun yang bisa mengadministrasi app atau instance.

Trade-off: disable adalah solusi yang ada tagihannya

Untuk hampir semua CVE di bundel ini, termasuk entri AI Toolkit, MCP Server, Talos, On-Call dan CVE-2026-76403, workaround-nya adalah mematikan atau menghapus app. Itu aman untuk celahnya dan mahal untuk lingkungan. Advisory memperingatkan bahwa mematikan AI Toolkit juga mematikan SPL command dan operasi modelnya, dan DSDL serta custom search command yang bergantung padanya bisa berhenti bekerja. Custom command yang tidak terkait tidak terpengaruh.

Kegagalan yang saya antisipasi adalah yang senyap: mematikan app MCP Server memutus setiap assistant dan agent yang memanggil Splunk lewat app itu, dan tidak ada yang membuat tiket sampai review insiden pertama membutuhkan sebuah query. Disable juga bukan patch. Jika Anda disable tapi tidak pernah upgrade, versi rentan tetap menunggu di disk untuk orang berikutnya yang mengaktifkannya lagi.

Rutinitas version gate yang bisa dijalankan sebelum tiket perubahan

Triase berarti menjawab satu pertanyaan per app: apakah versi terpasang di bawah versi fix? Script di bawah membaca versi dari stanza launcher di app.conf lalu membandingkannya dengan minimum memakai sort -V. Lokasi app.conf dan nama direktori adalah konvensi Splunk yang saya andalkan, bukan sesuatu yang dinyatakan advisory, jadi pastikan nama direktori sebenarnya di instance Anda dan ingat bahwa app.conf di local dapat menimpa default.

#!/usr/bin/env sh
# splunk-version-gate.sh <app_dir_name> <minimum_fixed_version>
# Example: splunk-version-gate.sh <mcp_app_dir> 1.2.1
# Assumption (Splunk convention, NOT stated by the advisory): the version lives
# in the [launcher] stanza of app.conf. Check local/app.conf too, it overrides default.
set -eu
SPLUNK_HOME="${SPLUNK_HOME:-/opt/splunk}"
conf="$SPLUNK_HOME/etc/apps/$1/default/app.conf"

installed=$(awk -F= '/^\[launcher\]/{f=1;next} /^\[/{f=0} f && $1 ~ /^version/ {gsub(/ /,"",$2); print $2; exit}' "$conf")
[ -n "$installed" ] || { echo "UNKNOWN  $1 (no version in $conf)"; exit 2; }

# sort -V puts the lower version first; if that is the installed one and it
# differs from the minimum, the app is below the fixed release.
lowest=$(printf '%s\n%s\n' "$installed" "$2" | sort -V | head -n1)
if [ "$installed" != "$2" ] && [ "$lowest" = "$installed" ]; then
  echo "VULNERABLE  $1 $installed < $2"; exit 1
fi
echo "OK  $1 $installed >= $2"

# Disable (standalone instance), exactly as the Splunk admin manual gives it.
# The manual page does not say whether a restart follows, so plan one:
#   ./splunk disable app <app_name> -auth <username>:<password>
#
# Kafka connector: the advisory's CVE-2026-76401 workaround, if you do not
# use timestamp extraction:
#   enable.timestamp.extraction=false

Perintah disable adalah yang diberikan manual admin Splunk untuk instance standalone. Halaman yang saya baca tidak menyebut apakah restart diperlukan sesudahnya, jadi rencanakan restart dan verifikasi.

Workaround non-app pada entri Kafka

Splunk Connect for Kafka adalah pengecualian dari disable-semuanya. Tiga dari empat CVE-nya punya mitigasi yang lebih sempit, penting karena connector sering tidak bisa begitu saja dimatikan. CVE-2026-76403, validasi sertifikat yang tidak diterapkan pada jalur autentikasi HEC Kerberos, kembali ke opsi mematikan add-on.

Ketiganya mengasumsikan Anda bisa membatasi siapa yang menjangkau REST API Kafka Connect. Jika endpoint itu terjangkau dari jaringan umum, perbaiki itu terlepas dari advisory ini.

Yang dilakukan pada hari Senin

Ini urutan yang akan saya ikuti, dari yang termurah sampai yang paling mengganggu.

1. Inventaris setiap app Splunk dari tabel enam baris di atas, termasuk yang pernah dipasang untuk pilot lalu terlupa.
2. Jalankan version gate pada masing-masing. Catat versi terpasang, versi fix dan pemiliknya di tiket.
3. Untuk app MCP Server di bawah 1.2.1, upgrade ke 1.2.1. Jika tidak bisa upgrade minggu ini, disable dan beri tahu tim yang agent-nya memakainya.
4. Untuk AI Toolkit, upgrade ke 6.0.1 dari lini 6.0 atau 6.0.0 dari 5.7, dan cek DSDL serta custom command yang bergantung padanya sebelum mematikan apa pun.
5. Perkecil pemegang mcp_tool_admin dan rotasi token MCP yang dibuat oleh akun yang tidak bisa dipertanggungjawabkan.
6. Berlangganan mailing list Splunk Security Advisories agar bundel berikutnya sampai ke orang, bukan sekadar feed.

Aturan yang saya ambil dari SVD-2026-0808: triase app MCP berdasarkan apa yang bisa dijangkau kredensialnya, bukan berdasarkan apakah exploit butuh login. Celah remote code execution dengan gerbang admin pada komponen yang menyimpan token Anda adalah item patch minggu ini, dan advisory yang sama menunjukkan bahwa setiap fitur AI menambah surface deserialisasi yang layak direview tersendiri.