CVE-2026-20298
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Splunk Enterprise i Splunk Cloud Platform odkryto podatność, która umożliwia użytkownikowi z niskimi uprawnieniami (bez roli 'admin' lub 'power') odczytanie zahaszowanych haseł przechowywanych w magazynie poświadczeń. Dzieje się tak, gdy użytkownik używa polecenia SPL `|rest` do dostępu do endpointu REST `/servicesNS/-/-/storage/passwords`, który zwraca pole `encr_password`.
Ocena ryzyka
Ryzyko polega na możliwości ujawnienia haseł (nawet w formie zahaszowanej) osobom nieuprawnionym, co może prowadzić do eskalacji uprawnień lub dalszych ataków na infrastrukturę Splunk.
Rekomendacja
Należy niezwłocznie zaktualizować Splunk Enterprise do wersji 10.4.1, 10.2.5, 10.0.8 lub 9.4.13, a Splunk Cloud Platform do wersji 10.5.2605.0, 10.4.2604.6, 10.3.2512.15, 10.2.2510.18 lub 10.1.2507.24, w zależności od używanej wersji.
Inne podatności w Splunk
Zobacz wszystkie- CVE-2013-7394Wysokie
Skrypt 'runshellscript echo.sh' w Splunk przed wersją 5.0.5 pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą spreparowanego ciągu.
- CVE-2026-20297Wysokie
W Splunk Enterprise i Splunk Cloud Platform wykryto podatność na path traversal podczas instalacji aplikacji. Użytkownik z uprawnieniami `edit_local_apps` i `install_apps` może zapisać pliki poza docelowym katalogiem aplikacji, do `$SPLUNK_HOME/etc/` i jego podkatalogów.
- CVE-2026-20296Wysokie
W Splunk Enterprise i Splunk Cloud Platform wykryto podatność CSRF, która pozwala atakującemu nakłonić użytkownika z odpowiednimi uprawnieniami do wykonania dowolnych zapytań SPL w kontekście użytkownika systemowego Splunk. Problem wynika z braku walidacji tokenów CSRF na żądaniach GET w endpointach Deployment Server oraz z nieprawidłowej neutralizacji danych wejściowych przed umieszczeniem ich w zapytaniu SPL.
- CVE-2026-20240Średnie
W Splunk Enterprise przed wersjami 10.2.2, 10.0.5, 9.4.11, 9.3.12 oraz Splunk Cloud Platform przed określonymi wersjami, użytkownik z niskimi uprawnieniami (bez roli admin lub power) może spowodować odmowę usługi (DoS) poprzez wykorzystanie skryptu coldToFrozen.sh w aplikacji splunk_archiver do zmiany nazw krytycznych katalogów Splunka, czyniąc instancję niefunkcjonalną.
- CVE-2026-20239Wysokie
Podatność w Splunk Enterprise (wersje poniżej 10.2.2 i 10.0.5) oraz Splunk Cloud Platform (wiele wersji) umożliwia użytkownikowi z rolą mającą dostęp do indeksu _internal przeglądanie ciasteczek sesji i treści odpowiedzi zawierających wrażliwe dane.
Oryginalny opis (angielski, źródło NVD)
In Splunk Enterprise versions below 10.4.1, 10.2.5, 10.0.8, and 9.4.13, and Splunk Cloud Platform versions below 10.5.2605.0, 10.4.2604.6, 10.3.2512.15, 10.2.2510.18, and 10.1.2507.24, a low-privileged user that does not hold the 'admin' or 'power' Splunk roles could view stored credential hashes when they access the `/servicesNS/-/-/storage/passwords` REST endpoint through the `|rest` Search Processing Language (SPL) command.<br><br>The exposure happens because the `|rest` SPL command returns the `encr_password` field in the results of the `/servicesNS/-/-/storage/passwords` REST endpoint.