Sicherheitsalarm Splunk kritische Sicherheitslücke CVE-2026-20253, die Remote-Code Ausführung ermöglichen könnte

Splunk hat kritische Patches für einen Splunk Enterprise-Versagen veröffentlicht, dass laut dem Unternehmen und den Forschern, die das Problem analysiert haben, unauthenticated-Dateioperationen ermöglicht und möglicherweise bis zur Remote-Code-Ausführung skaliert. als CVE-2026-20253 und mit einem CVSS-Score 9.8, Verwundbarkeit befindet sich im Dienst "PostgreSQL Sidecar", dass einige On-Premises zusammen mit Splunk Enterprise verwenden und dass keine Authentifizierungssteuerung in bestimmten Endpunkten.

Das Risiko ist aus zwei Gründen hoch: Erstens kann jeder Benutzer mit Netzwerkzugriff auf diesen Dienst Datenbasis Kopier-/Recovery-Funktionen ohne Anmeldeinformationen anrufen; zweitens bietet die Sequenz von Operationen erlaubt (Drehen Sie eine Dump, wiederherstellen und Datenbankfunktionen ein primitives beliebiges Schreiben im Dateisystem, das wiederum eine Codeausführung werden kann, wenn ein Skript, das Splunk regelmäßig durchführt, überschrieben wird. Splunk gibt an, dass die betroffenen Versionen 10.0.0 bis 10.0.6(korrigiert bei 10.0.7) und 10.2.0 bis 10.2.3(korrigiert in 10.2.4); Splunk Enterprise 10.4 ist nicht betroffen und Splunk Cloud nutzt diese Sidecars auch nicht, so dass es nicht beeinträchtigt wird.

Technische Details, die von den Forschern veröffentlicht werden, zeigen, wie ein Angreifer durch die Verwendung der Endpunkte des Backups / Wiederherstellung des Sidecars eine von ihm kontrollierte Neigung im Ziel-Host absenken kann und die lokale Autorität von PostgreSQL dazu veranlassen kann, in dieser Deponie definierte Sätze auszuführen. Solche Urteile können die Schaffung von Funktionen beinhalten, die Gewinne wie lo _ export BLOBs zu extrahieren und Dateien auf Systemrouten zu schreiben, z.B. das Überschreiben von Python-Skripten, die Splunk automatisch lädt, was ein willkürliches Schreiben in Remotecode-Ausführung verwandelt.

Obwohl es bisher keine öffentlichen Beweise für die Massenausbeutung in produktiven Umgebungen gibt, macht die Veröffentlichung der Methode diese Verwundbarkeit für opportunistische Akteure attraktiv. Deshalb müssen Organisationen schnell handeln: Die Zeit zwischen der Verfügbarkeit einer Funktionsexplosion und Missbrauchsversuchen kann sehr kurz sein.

Die erste und wichtigste Maßnahme ist die Anwendung der offiziellen Patches: 10.0.7 oder 10.2.4(oder neuere Version, die bereits die Korrektur enthält). Splunk hält Sicherheitshinweise und Versionshinweise, in denen die Minderung und die betroffenen Gebäude erklärt werden sollen; es wird empfohlen, dem Leitfaden des Lieferanten zu folgen und die Fixes aus offiziellen Quellen herunterzuladen. Sie können Splunks Mitteilungs-Repository und den CVE-Eintrag auf öffentlichen Basen wie dem NVD überprüfen, um technische Details und die Folge der CVE zu bestätigen: Splunk Sicherheitshinweise und NVD - CVE-2026-20253.

Wenn es aus irgendeinem Grund nicht möglich ist, sofort zu aktualisieren, gibt es eine kompensatorische Minderung, die die Angriffsfläche reduziert: blockieren Sie den Netzzugang zum PostgreSQL-Service durch Sidecar Firewall- und Segmentierungsregeln, begrenzen Sie die Belichtung von Backup / Wiederherstellung Endpunkte auf interne Management-Netzwerke und wenden Sie Zugriffskontrolllisten an, so dass nur bekannte und zuverlässige Hosts angeschlossen werden können. Darüber hinaus wird verhindert, dass Splunk-Instanzen ausgehende Verbindungen zu fremdgesteuerten Datenbanken öffnen, dass ein Teil des Vektors von Forschern verwendet wird.

Parallel zum Patchen oder Trennen ist es unerlässlich, Kompromisssignale zu suchen. Es ist angezeigt, Integrität und Änderungen in kritischen Routen wie / opt / splunk (insbesondere Dateien und Skripte in etc / apps / * / bin), interne und Audit-Logs auf der Suche nach Anrufen zu Wiederherstellung Endpunkte oder Dump / Wiederherstellung Aktivitäten zu überprüfen, und PostgreSQL-Prozesse und Verbindungen, die auf externe Datenbanken zeigen zu überwachen. Werden unberechtigte Änderungen festgestellt, sollten die betreffenden Maschinen in Reaktion auf Vorfälle, einschließlich der Wiederherstellung von sauberen Kopien und Rotation von zugehörigen Anmeldeinformationen, isoliert und behandelt werden.

Schließlich erinnert dieser Vorfall an zwei operative Lektionen: die ersten, nie aussetzen Management-Dienste oder Sidecars ohne robuste Zugriffskontrollen; die zweite, ergänzen den Patch mit Netzwerkerkennungs- und Segmentierungssteuerungen, die verhindern, dass eine primitive Datei oder Datenbank Remote-Code Ausführung. Die Aufrechterhaltung der aktuellen Bestandsaufnahme von Komponenten und eine Änderungsüberprüfungspolitik in ausführbaren Dateien reduziert die Fähigkeit eines Angreifers, nach einem Eindringen still zu bleiben.

Die Schlüsselempfehlung ist klar: Aktualisierung jetzt, blockieren Sie den Zugang zu den Sidecars, wenn er nicht sofort geparkt werden kann und führen Sie eine proaktive Suche nach Missbrauchsindikatoren in den betroffenen Umgebungen durch. Weitere technische Details und Überwachung des Patchstatus finden Sie auf den angegebenen offiziellen Seiten und den Veröffentlichungen der Forscher, die den Fehler analysiert haben.