Die Schwachstelle betrifft die Anreicherungsfunktion für Talos-Bedrohungsdaten in Cisco Talos Intelligence for Enterprise Security Cloud. Der zugehörige REST-Endpunkt übernimmt das Ziel für authentifizierte Splunk-Management-Anfragen aus den übermittelten Anfragedaten, statt es fest vorzugeben. Ein Benutzer, dessen Rolle die Berechtigung zur Talos-Anreicherung besitzt, kann dadurch eine präparierte Anfrage senden und die Instanz veranlassen, eine ausgehende Verbindung zu einem vom Angreifer kontrollierten Server aufzubauen – ein klassischer Server-Side-Request-Forgery-Fall. Bei dieser Verbindung werden Authentifizierungs-Token an den fremden Server übertragen. Mit diesen Token kann der Angreifer sich gegenüber der Splunk-Instanz ausweisen und so sämtliche dort verarbeiteten Daten sowie die Integrität des Systems kompromittieren. Voraussetzung ist ein bestehendes Konto mit der entsprechenden Rolle, weitergehende administrative Rechte sind nicht erforderlich.