CVE-2026-20297
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W Splunk Enterprise i Splunk Cloud Platform wykryto podatność na path traversal podczas instalacji aplikacji. Użytkownik z uprawnieniami `edit_local_apps` i `install_apps` może zapisać pliki poza docelowym katalogiem aplikacji, do `$SPLUNK_HOME/etc/` i jego podkatalogów.
Ocena ryzyka
Atakujący może nadpisać krytyczne pliki konfiguracyjne Splunka, co prowadzi do eskalacji uprawnień, przejęcia kontroli nad systemem lub trwałego uszkodzenia instalacji.
Rekomendacja
Niezwłocznie zaktualizuj Splunk Enterprise do wersji 10.4.1, 10.2.5, 10.0.8, 9.4.13, 9.3.14 lub nowszej, a Splunk Cloud Platform do wersji 10.5.2605.0, 10.4.2604.6, 10.2.2510.18, 10.1.2507.24 lub nowszej.
Inne podatności w Splunk
Zobacz wszystkie- CVE-2013-7394Wysokie
Skrypt 'runshellscript echo.sh' w Splunk przed wersją 5.0.5 pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą spreparowanego ciągu.
- CVE-2026-20298Średnie
W Splunk Enterprise i Splunk Cloud Platform odkryto podatność, która umożliwia użytkownikowi z niskimi uprawnieniami (bez roli 'admin' lub 'power') odczytanie zahaszowanych haseł przechowywanych w magazynie poświadczeń. Dzieje się tak, gdy użytkownik używa polecenia SPL `|rest` do dostępu do endpointu REST `/servicesNS/-/-/storage/passwords`, który zwraca pole `encr_password`.
- CVE-2026-20296Wysokie
W Splunk Enterprise i Splunk Cloud Platform wykryto podatność CSRF, która pozwala atakującemu nakłonić użytkownika z odpowiednimi uprawnieniami do wykonania dowolnych zapytań SPL w kontekście użytkownika systemowego Splunk. Problem wynika z braku walidacji tokenów CSRF na żądaniach GET w endpointach Deployment Server oraz z nieprawidłowej neutralizacji danych wejściowych przed umieszczeniem ich w zapytaniu SPL.
- CVE-2026-20240Średnie
W Splunk Enterprise przed wersjami 10.2.2, 10.0.5, 9.4.11, 9.3.12 oraz Splunk Cloud Platform przed określonymi wersjami, użytkownik z niskimi uprawnieniami (bez roli admin lub power) może spowodować odmowę usługi (DoS) poprzez wykorzystanie skryptu coldToFrozen.sh w aplikacji splunk_archiver do zmiany nazw krytycznych katalogów Splunka, czyniąc instancję niefunkcjonalną.
- CVE-2026-20239Wysokie
Podatność w Splunk Enterprise (wersje poniżej 10.2.2 i 10.0.5) oraz Splunk Cloud Platform (wiele wersji) umożliwia użytkownikowi z rolą mającą dostęp do indeksu _internal przeglądanie ciasteczek sesji i treści odpowiedzi zawierających wrażliwe dane.
Oryginalny opis (angielski, źródło NVD)
In Splunk Enterprise versions below 10.4.1, 10.2.5, 10.0.8, 9.4.13, and 9.3.14, and Splunk Cloud Platform versions below 10.5.2605.0, 10.4.2604.6, 10.2.2510.18, and 10.1.2507.24, a user who holds a role that contains the `edit_local_apps` and `install_apps` capabilities could cause a legitimate app installation to write files outside the intended app directory, into `$SPLUNK_HOME/etc/` and its subdirectories.<br><br>The vulnerability is caused by a path traversal in the app installation workflow, which does not restrict the installation path to the intended app directory.