Alerte de sécurité Splunk vulnérabilité critique CVE-2026-20253 qui pourrait permettre l'exécution de code à distance

Spunk a publié des correctifs critiques pour un échec Splunk Enterprise qui, selon l'entreprise et les chercheurs qui ont analysé le problème, permet des opérations de fichiers non authentifiées et potentiellement à l'exécution de code à distance. Identifiée comme CVE-2026-20253 et avec un score CVSS de 9,8, vulnérabilité est situé dans le service "PostgreSQL Sidecar" que certains sur site utilisent avec Splunk Enterprise et qui ne disposent pas de contrôles d'authentification dans certains paramètres.

Le risque est élevé pour deux raisons: premièrement, tout utilisateur ayant accès au réseau à ce service peut invoquer des fonctions de copie/récupération de base de données sans identification; deuxièmement, la séquence d'opérations autorisée (tourner un dump, restaurer et invoquer des fonctions de base de données) offre une écriture arbitraire primitive dans le système de fichiers, qui peut à son tour devenir une exécution de code si un script que Spunk effectue régulièrement est écrasé. Spunk indique que les versions touchées sont 100,0 à 100,6(corrigé à 10,0.7) et 10.2 à 10.2.3(corrigé en 10.2.4); Spunk Enterprise 10.4 n'est pas affecté et Spunk Cloud n'utilise pas ces sidecars non plus, donc il n'est pas affecté.

Les détails techniques publiés par les chercheurs montrent comment, en utilisant les paramètres de sauvegarde / restauration du sidecar, un attaquant peut laisser tomber une inclinaison contrôlée par lui dans l'hôte cible et faire exécuter les phrases définies dans cette décharge par l'autorité locale de PostgreSQLTM. Ces jugements peuvent comprendre la création de fonctions qui exigent des bénéfices tels que lo _ exporter pour extraire des BLOBs et écrire des fichiers sur les routes du système, par exemple écraser les scripts Python que Spunk charge automatiquement, ce qui transforme une écriture arbitraire en exécution de code à distance.

Bien qu'il n'existe aucune preuve publique d'exploitation massive dans des environnements productifs, la publication de la méthode rend cette vulnérabilité attrayante pour les acteurs opportunistes. C'est pourquoi les organisations doivent agir rapidement : le temps entre la disponibilité d'une explosion fonctionnelle et les tentatives d'abus peut être très court.

La première et la plus importante mesure est d'appliquer les correctifs officiels: 10,0.7 ou 10.2.4(ou version plus récente qui inclut déjà la correction). Splunk conserve des avis de sécurité et des notes de version où expliquer l'atténuation et les bâtiments touchés; il est recommandé de suivre le guide du fournisseur et de télécharger les corrections à partir de sources officielles. Vous pouvez vérifier le dépôt d'avis de Splunk et l'entrée CVE sur des bases publiques comme la NVD pour confirmer les détails techniques et le suivi de la CVE: Avis de sécurité et NVD - CVE-2026-20253.

Si pour une raison quelconque il n'est pas possible de mettre à jour immédiatement, il y a une atténuation compensatoire qui réduit la surface de l'attaque : bloquer l'accès réseau au service PostgreSQL par le pare-feu et les règles de segmentation de sidecar, limiter l'exposition des paramètres de sauvegarde / de restauration aux réseaux de gestion interne, et appliquer des listes de contrôle d'accès afin que seuls des hôtes connus et fiables puissent être connectés. En outre, empêcher les instances Spunk d'ouvrir des connexions sortantes à des bases de données contrôlées par des tiers empêche une partie du vecteur utilisé par les chercheurs.

Parallèlement au patching ou à l'isolement, il est essentiel de rechercher des signaux de compromis. Il est approprié d'inspecter l'intégrité et les changements dans les itinéraires critiques tels que / opt / spunk (surtout les fichiers et scripts dans etc / applications / * / bin), d'examiner les journaux internes et d'audit dans la recherche des appels aux paramètres de récupération ou des activités de sauvegarde / restauration, et de surveiller les processus PostgreSQLTM et les connexions qui pointent vers des bases de données externes. Si des modifications non autorisées sont identifiées, les machines concernées devraient être isolées et traitées en réponse à des incidents, y compris la restauration à partir de copies propres et la rotation des références associées.

Enfin, cet incident rappelle deux leçons opérationnelles : la première, ne jamais exposer les services de gestion ou les sidecars sans contrôles d'accès robustes ; la seconde, compléter le patch par des contrôles de détection et de segmentation réseau qui empêchent un fichier primitif ou une base de données de devenir une exécution de code à distance. Le maintien d'un inventaire à jour des composants et d'une politique d'examen des changements dans les fichiers exécutables réduit la capacité d'un attaquant à persister silencieusement après une intrusion.

La recommandation clé est claire : mise à jour maintenant, bloquer l'accès aux sidecars s'il ne peut pas être garé immédiatement, et effectuer une recherche proactive d'indicateurs d'abus dans les environnements touchés. Pour plus de détails techniques et de suivi de l'état des patchs, voir les pages officielles indiquées et les publications des chercheurs qui ont analysé l'échec.