CVE-2025-20371
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W Splunk Enterprise w wersjach poniżej 10.0.1, 9.4.4, 9.3.6 i 9.2.8 oraz Splunk Cloud Platform w wersjach poniżej 9.3.2411.109, 9.3.2408.119 i 9.2.2406.122 nieuwierzytelniony atakujący może wywołać blind server-side request forgery (SSRF), potencjalnie pozwalając na wykonywanie wywołań REST API w imieniu uwierzytelnionego użytkownika o wysokich uprawnieniach.
Ocena ryzyka
Atakujący może wykorzystać SSRF do wykonywania akcji w imieniu uprzywilejowanego użytkownika, co może prowadzić do nieautoryzowanego dostępu do danych lub zmian konfiguracji. Ryzyko dotyczy niezałatanych instalacji Splunk.
Rekomendacja
Zaktualizuj Splunk Enterprise lub Splunk Cloud Platform do wersji zawierającej poprawkę (10.0.1, 9.4.4, 9.3.6, 9.2.8 lub odpowiednio nowszej dla chmury). Monitoruj nietypowe żądania do API.
Inne podatności w Splunk
Zobacz wszystkie- CVE-2013-7394Wysokie
Skrypt 'runshellscript echo.sh' w Splunk przed wersją 5.0.5 pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą spreparowanego ciągu.
- CVE-2026-20298Średnie
W Splunk Enterprise i Splunk Cloud Platform odkryto podatność, która umożliwia użytkownikowi z niskimi uprawnieniami (bez roli 'admin' lub 'power') odczytanie zahaszowanych haseł przechowywanych w magazynie poświadczeń. Dzieje się tak, gdy użytkownik używa polecenia SPL `|rest` do dostępu do endpointu REST `/servicesNS/-/-/storage/passwords`, który zwraca pole `encr_password`.
- CVE-2026-20297Wysokie
W Splunk Enterprise i Splunk Cloud Platform wykryto podatność na path traversal podczas instalacji aplikacji. Użytkownik z uprawnieniami `edit_local_apps` i `install_apps` może zapisać pliki poza docelowym katalogiem aplikacji, do `$SPLUNK_HOME/etc/` i jego podkatalogów.
- CVE-2026-20296Wysokie
W Splunk Enterprise i Splunk Cloud Platform wykryto podatność CSRF, która pozwala atakującemu nakłonić użytkownika z odpowiednimi uprawnieniami do wykonania dowolnych zapytań SPL w kontekście użytkownika systemowego Splunk. Problem wynika z braku walidacji tokenów CSRF na żądaniach GET w endpointach Deployment Server oraz z nieprawidłowej neutralizacji danych wejściowych przed umieszczeniem ich w zapytaniu SPL.
- CVE-2026-20240Średnie
W Splunk Enterprise przed wersjami 10.2.2, 10.0.5, 9.4.11, 9.3.12 oraz Splunk Cloud Platform przed określonymi wersjami, użytkownik z niskimi uprawnieniami (bez roli admin lub power) może spowodować odmowę usługi (DoS) poprzez wykorzystanie skryptu coldToFrozen.sh w aplikacji splunk_archiver do zmiany nazw krytycznych katalogów Splunka, czyniąc instancję niefunkcjonalną.
- CVE-2026-20239Wysokie
Podatność w Splunk Enterprise (wersje poniżej 10.2.2 i 10.0.5) oraz Splunk Cloud Platform (wiele wersji) umożliwia użytkownikowi z rolą mającą dostęp do indeksu _internal przeglądanie ciasteczek sesji i treści odpowiedzi zawierających wrażliwe dane.
- CVE-2025-20384Średnie
W Splunk Enterprise (wersje poniżej 10.0.1, 9.4.6, 9.3.8, 9.2.10) i Splunk Cloud Platform (wersje poniżej 10.1.2507.4, 10.0.2503.6, 9.3.2411.117.125) nieuwierzytelniony atakujący może wstrzyknąć kody ANSI do plików logów Splunk z powodu niewłaściwej walidacji na endpointcie /en-US/static/.
- CVE-2025-20369Średnie
W Splunk Enterprise i Splunk Cloud Platform użytkownik o niskich uprawnieniach bez ról admin lub power może przeprowadzić atak XXE poprzez pole etykiety zakładki dashboardu. Wstrzyknięcie XXE może powodować ataki typu denial of service (DoS).
Oryginalny opis (angielski, źródło NVD)
In Splunk Enterprise versions below 10.0.1, 9.4.4, 9.3.6 and 9.2.8, and Splunk Cloud Platform versions below 9.3.2411.109, 9.3.2408.119 and 9.2.2406.122, an unauthenticated attacker could trigger a blind server-side request forgery (SSRF) potentially letting an attacker perform REST API calls on behalf of an authenticated high-privileged user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS