JVNDB-2026-029551

SplunkのSplunk AI Toolkitにおける信頼できないデータのデシリアライゼーションに関する脆弱性

Splunk AI Toolkitのバージョン6.0.0未満において、「power」Splunkロールを持つユーザーは、細工されたスパース行列データを含むモデルファイルを読み込むことで、Splunkサーバー上で任意のコードを実行できました。信頼されていないデータの逆シリアライズが可能であったのは、Splunk AI Toolkitのモデルコーデックが埋め込まれたpickleコンテンツに対する保護を行わずにスパース行列データを逆シリアライズしていたためです。詳細については、Splunkのドキュメント内「Splunk Machine Learning Toolkitのトラブルシューティング」（https://help.splunk.com/en/splunk-cloud-platform/apply-machine-learning/machine-learning-toolkit-user-guide/5.5.0/troubleshooting-mltk/troubleshoot-the-splunk-machine-learning-toolkit）をご参照ください。

Splunk

• Splunk AI Toolkit 5.7.0 以上 6.0.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Splunk

• Splunk Security Advisories : SVD-2026-0808 | Splunk Vulnerability Disclosure

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-76395

1. National Vulnerability Database (NVD) : CVE-2026-76395

• [2026年08月24日]
    掲載