CVE-2026-20253 Splunk Pre-Auth RCE

Splunk Pre-Auth RCE 1day Detection Artifact Generator Tool

Erkennung in Aktion

Der Detection Artifact Generator versucht, auf den Endpunkt /v1/postgres/recovery/backup des PostgreSQL Sidecar Service zuzugreifen, um zu überprüfen, ob dieser erreichbar ist oder nicht:

400-Antwort – wahrscheinlich anfällig
401-Antwort – wahrscheinlich nicht anfällig
jede andere – PostgreSQL Sidecar Service nicht installiert (nicht anfällig) oder etwas hat die Antwort beeinflusst, bitte manuell überprüfen

Das Skript wurde getestet auf:

Splunk Enterprise 10.2.3 unter Linux (anfällig)
Splunk Enterprise 10.2.4 unter Linux (nicht anfällig)

Einige ältere Builds (wie Splunk 9) wurden nicht getestet.

Diese Schwachstelle führt bei vollständiger Ausnutzung zur Pre-Auth RCE. Von diesem Skript werden keine Ausnutzungsversuche durchgeführt.

Sie müssen folgende Eingaben bereitstellen:

-H – Zielhost.
-r – Region Ihrer Splunk-Installation (erscheint in den URLs), z. B.: en-US.

Beispieldurchlauf gegen eine anfällige Instanz:

$ python3 watchTowr-vs-Splunk-RCE-CVE-2026-20253.py -H http://vulnerable.splunk.lab:8000 -r en-US
                         __         ___  ___________                   
         __  _  ______ _/  |__ ____ |  |_\__    ____\____  _  ________ 
         \ \/ \/ \__  \    ___/ ___\|  |  \|    | /  _ \ \/ \/ \_  __ \
          \     / / __ \|  | \  \___|   Y  |    |(  <_> \     / |  | \/
           \/\_/ (____  |__|  \___  |___|__|__  | \__  / \/\_/  |__|   
                                  \/          \/     \/                            
          
        watchTowr-vs-Splunk-CVE-2026-20253.py
        (*) CVE-2026-20253 Splunk PostgreSQL Sidecar Service Detection Artifact Generator

          - Piotr (@chudyPB) of watchTowr (@watchTowrcyber)

[+] VULNERABLE - access to /v1/postgres/recovery/backup not blocked

Beispieldurchlauf gegen eine gepatchte Instanz:

$ python3 watchTowr-vs-Splunk-RCE-CVE-2026-20253.py -H http://not.vulnerable.splunk.lab:8000 -r en-US
                         __         ___  ___________                   
         __  _  ______ _/  |__ ____ |  |_\__    ____\____  _  ________ 
         \ \/ \/ \__  \    ___/ ___\|  |  \|    | /  _ \ \/ \/ \_  __ \
          \     / / __ \|  | \  \___|   Y  |    |(  <_> \     / |  | \/
           \/\_/ (____  |__|  \___  |___|__|__  | \__  / \/\_/  |__|   
                                  \/          \/     \/                            
          
        watchTowr-vs-Splunk-CVE-2026-20253.py
        (*) CVE-2026-20253 Splunk PostgreSQL Sidecar Service Detection Artifact Generator

          - Piotr (@chudyPB) of watchTowr (@watchTowrcyber)

[-] NOT VULNERABLE - access to /v1/postgres/recovery/backup blocked

Beschreibung

Dieses Skript versucht zu erkennen, ob Splunk anfällig für CVE-2026-20253 Pre-Auth RCE ist.

Betroffene Versionen

Laut Herstellerhinweis:

Splunk Enterprise 10.4.0 – NICHT ANFÄLLIG
Splunk Enterprise 10.2.4 – NICHT ANFÄLLIG
Splunk Enterprise 10.0.7 – NICHT ANFÄLLIG
Splunk Enterprise 10.2.0 bis 10.2.3 – ANFÄLLIG
Splunk Enterprise 10.0.0 bis 10.0.6 – ANFÄLLIG

Folgen Sie watchTowr Labs

Für die neuesten Sicherheitsforschungen folgen Sie dem watchTowr Labs Team

watchTowr-vs-Splunk-CVE-2026-20253

Beliebteste

CVE-2026-20253 Splunk Pre-Auth RCE

Erkennung in Aktion

Beschreibung

Betroffene Versionen

Folgen Sie watchTowr Labs