Die Schwachstelle betrifft die Verwaltung gespeicherter Zugangsdaten in Splunk Enterprise und der Splunk Cloud Platform. Über den REST-Endpunkt für den Passwortspeicher, der sich mit dem SPL-Suchbefehl |rest direkt aus einer Suchabfrage heraus aufrufen lässt, werden in den Ergebnissen auch die verschlüsselten Passwortwerte (Feld encr_password) zurückgegeben. Dadurch kann ein Benutzer mit geringen Rechten – also ohne die administrativen Rollen ‘admin’ oder ‘power’ – die gespeicherten Zugangsdaten-Hashes einsehen, obwohl diese Informationen ausschließlich privilegierten Konten zugänglich sein sollten. Es handelt sich um eine fehlerhafte Rechteprüfung beziehungsweise eine unzureichende Filterung der Ausgabefelder. Praktisch bedeutet das: Jeder angemeldete Nutzer mit Suchberechtigung kann an sensible Anmeldeinformationen gelangen, die Splunk für Verbindungen zu anderen Systemen hinterlegt hat. Diese lassen sich für weitere Angriffe – etwa das Knacken der Werte offline oder die Ausweitung von Zugriffsrechten auf angebundene Systeme – nutzen.