Splunk Enterprise vá lỗ hổng nghiêm trọng cho phép thực thi mã từ xa không cần xác thực
"Splunk released security updates for a critical unauthenticated vulnerability in Splunk Enterprise, tracked as CVE-2026-20253 with a CVSS score of 9.8. The flaw affects versions below 10.2.4 and 10.0.7 and can allow arbitrary file operations and, with exploit chaining, remote code execution; fixes are available in Splunk Enterprise 10.0.7 and 10.2.4, while 10.4 is not affected."
Lỗ hổng cho phép ghi tệp tùy ý và có thể dẫn tới RCE trước xác thực thông qua chuỗi khai thác; mức độ nghiêm trọng cao do CVSS 9.8.
Nguy cơ bị xâm nhập có thể làm gián đoạn vận hành và ảnh hưởng tính toàn vẹn hệ thống; tác động giảm đáng kể khi cập nhật lên bản vá và hạn chế truy cập mạng tới endpoint liên quan.
Splunk đã phát hành bản cập nhật bảo mật để khắc phục một lỗ hổng nghiêm trọng trong Splunk Enterprise có thể bị khai thác để thực hiện các thao tác tệp không cần xác thực và, trong một số chuỗi tấn công, dẫn tới thực thi mã từ xa (RCE). Lỗ hổng được theo dõi dưới mã CVE-2026-20253 với điểm CVSS 9.8.
Theo thông báo, trên các phiên bản dưới 10.2.4 và 10.0.7, người dùng không được xác thực có thể tạo hoặc cắt ngắn tệp tùy ý thông qua endpoint dịch vụ PostgreSQL sidecar vì endpoint này thiếu cơ chế kiểm soát xác thực, cho phép bất kỳ máy có thể truy cập mạng gọi trực tiếp các thao tác tệp.
Các bản vá đã có cho Splunk Enterprise 10.0.7 và 10.2.4; Splunk Enterprise 10.4 không bị ảnh hưởng. Splunk Cloud được nêu là không bị tác động do không sử dụng PostgreSQL sidecar.
Nghiên cứu bổ sung cho thấy có thể đạt pre-auth RCE thông qua các endpoint /v1/postgres/recovery/backup và /v1/postgres/recovery/restore, bao gồm ghi nội dung do kẻ tấn công kiểm soát lên hệ thống tệp và sau đó kích hoạt thực thi. Khuyến nghị: cập nhật ngay lên 10.0.7 hoặc 10.2.4, rà soát cấu hình truy cập mạng tới các endpoint liên quan và ưu tiên giảm bề mặt phơi nhiễm.