CVE-2026-20298
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Splunk Enterprise i Splunk Cloud Platform odkryto podatność, która umożliwia użytkownikowi z niskimi uprawnieniami (bez roli 'admin' lub 'power') odczytanie zahaszowanych haseł przechowywanych w magazynie poświadczeń. Dzieje się tak, gdy użytkownik używa polecenia SPL `|rest` do dostępu do endpointu REST `/servicesNS/-/-/storage/passwords`, który zwraca pole `encr_password`.
Ocena ryzyka
Ryzyko polega na możliwości ujawnienia haseł (nawet w formie zahaszowanej) osobom nieuprawnionym, co może prowadzić do eskalacji uprawnień lub dalszych ataków na infrastrukturę Splunk.
Rekomendacja
Należy niezwłocznie zaktualizować Splunk Enterprise do wersji 10.4.1, 10.2.5, 10.0.8 lub 9.4.13, a Splunk Cloud Platform do wersji 10.5.2605.0, 10.4.2604.6, 10.3.2512.15, 10.2.2510.18 lub 10.1.2507.24, w zależności od używanej wersji.
Inne podatności w Splunk
Zobacz wszystkie- CVE-2013-7394Wysokie
Skrypt 'runshellscript echo.sh' w Splunk przed wersją 5.0.5 pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą spreparowanego ciągu.
- CVE-2026-20297Wysokie
W Splunk Enterprise i Splunk Cloud Platform wykryto podatność na path traversal podczas instalacji aplikacji. Użytkownik z uprawnieniami `edit_local_apps` i `install_apps` może zapisać pliki poza docelowym katalogiem aplikacji, do `$SPLUNK_HOME/etc/` i jego podkatalogów.
- CVE-2026-20296Wysokie
W Splunk Enterprise i Splunk Cloud Platform wykryto podatność CSRF, która pozwala atakującemu nakłonić użytkownika z odpowiednimi uprawnieniami do wykonania dowolnych zapytań SPL w kontekście użytkownika systemowego Splunk. Problem wynika z braku walidacji tokenów CSRF na żądaniach GET w endpointach Deployment Server oraz z nieprawidłowej neutralizacji danych wejściowych przed umieszczeniem ich w zapytaniu SPL.
- CVE-2026-20240Średnie
W Splunk Enterprise przed wersjami 10.2.2, 10.0.5, 9.4.11, 9.3.12 oraz Splunk Cloud Platform przed określonymi wersjami, użytkownik z niskimi uprawnieniami (bez roli admin lub power) może spowodować odmowę usługi (DoS) poprzez wykorzystanie skryptu coldToFrozen.sh w aplikacji splunk_archiver do zmiany nazw krytycznych katalogów Splunka, czyniąc instancję niefunkcjonalną.
- CVE-2026-20239Wysokie
Podatność w Splunk Enterprise (wersje poniżej 10.2.2 i 10.0.5) oraz Splunk Cloud Platform (wiele wersji) umożliwia użytkownikowi z rolą mającą dostęp do indeksu _internal przeglądanie ciasteczek sesji i treści odpowiedzi zawierających wrażliwe dane.
- CVE-2025-20384Średnie
W Splunk Enterprise (wersje poniżej 10.0.1, 9.4.6, 9.3.8, 9.2.10) i Splunk Cloud Platform (wersje poniżej 10.1.2507.4, 10.0.2503.6, 9.3.2411.117.125) nieuwierzytelniony atakujący może wstrzyknąć kody ANSI do plików logów Splunk z powodu niewłaściwej walidacji na endpointcie /en-US/static/.
Oryginalny opis (angielski, źródło NVD)
In Splunk Enterprise versions below 10.4.1, 10.2.5, 10.0.8, and 9.4.13, and Splunk Cloud Platform versions below 10.5.2605.0, 10.4.2604.6, 10.3.2512.15, 10.2.2510.18, and 10.1.2507.24, a low-privileged user that does not hold the 'admin' or 'power' Splunk roles could view stored credential hashes when they access the `/servicesNS/-/-/storage/passwords` REST endpoint through the `|rest` Search Processing Language (SPL) command.<br><br>The exposure happens because the `|rest` SPL command returns the `encr_password` field in the results of the `/servicesNS/-/-/storage/passwords` REST endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS