CVE-2026-20253 - إثبات المفهوم (PoC) لثغرة تنفيذ الأوامر عن بُعد (RCE) دون مصادقة في Splunk Enterprise

⚠️ تحذير: هذا البرنامج النصي مخصص للأغراض التعليمية والاختبار في البيئات المصرح بها فقط. الاستخدام غير المصرح به محظور وقد يكون غير قانوني.

📋 وصف

يحتوي هذا المستودع على إثبات مفهوم (PoC) عملي للثغرة CVE-2026-20253، التي تؤثر على Splunk Enterprise في إصدارات محددة. تسمح هذه الثغرة لمهاجم غير مصادق بما يلي:

• إنشاء ملفات عشوائية في النظام
• اقتطاع الملفات الموجودة
• تنفيذ الأوامر عن بُعد (RCE) كمستخدم splunk

البحث الفني تم بواسطة watchTowr Labs وتم الإبلاغ عن الثغرة بواسطة Alex Hordijk (hordalex).

🔍 تفاصيل الثغرة

الإصدارات المتأثرة

التأثير

• المصادقة: غير مطلوبة
• تعقيد الهجوم: منخفض
• التأثير: السرية والنزاهة والتوفر (كامل)

🚀 ميزات إثبات المفهوم (PoC)

✅ كشف الثغرة - التحقق مما إذا كان الهدف ضعيفاً ✅ أولية كتابة الملف - إنشاء/اقتطاع ملفات عشوائية ✅ تنفيذ الأوامر عن بُعد - تنفيذ الأوامر في النظام المستهدف ✅ نتائج قابلة للقراءة - استرداد مخرجات الأوامر المنفذة ✅ التنظيف - خيار لإزالة القطع الأثرية التي تم إنشاؤها

📦 المتطلبات

• Python 3.6+
• requests (مكتبة بايثون)
• Splunk Enterprise ضعيف (للاختبار)

تثبيت التبعيات

pip install requests

🔬 آلية العمل

سلسلة الهجوم

1. الكشف: يتحقق البرنامج النصي مما إذا كان نقطة النهاية /backup قابلة للوصول دون مصادقة.

2. أولية كتابة الملف: باستخدام نقطة النهاية /backup، يقوم البرنامج النصي بإنشاء ملفات فارغة في أي موقع في النظام.

3. RCE (تنفيذ الأوامر عن بُعد):

   • يتصل البرنامج النصي بخادم PostgreSQL يتحكم به المهاجم
   • يستخدم pg_dump لإنشاء تفريغ خبيث في النظام المستهدف
   • يستخدم pg_restore لتنفيذ دوال PL/pgSQL التي تكتب الحمولة
   • تُكتب الحمولة في برنامج نصي ينفذه Splunk تلقائياً

4. تنفيذ الأمر: يتم تنفيذ البرنامج النصي الخبيث ويتم حفظ النتيجة في ملف يمكن الوصول إليه عبر الويب.

مخطط الهجوم