Betroffen ist die Komponente zur Verwaltung von Zugangsdaten in der MCP-Server-App für Splunk. Dort werden gespeicherte Daten wieder eingelesen und in Objekte zurückverwandelt (Deserialisierung), ohne zu prüfen, ob der Inhalt überhaupt dem erwarteten Datentyp entspricht. Diese fehlende Eingabeprüfung lässt sich missbrauchen, um präparierte Daten einzuschleusen, die beim Einlesen zur Ausführung eigener Befehle führen. Ein Angreifer kann dadurch beliebige Kommandos auf dem darunterliegenden Betriebssystem des Servers ausführen und damit weit über die eigentliche Anwendung hinaus Kontrolle erlangen. Voraussetzung ist allerdings, dass der Angreifer bereits über ein Konto mit der Administratorrolle in Splunk verfügt – die Lücke dient also vor allem dem Ausbruch aus der Anwendung auf die Systemebene und der Ausweitung bestehender Rechte, nicht dem erstmaligen Zugang von außen.