CVE-2026-20253 - PoC RCE sans authentification préalable pour Splunk Enterprise

⚠️ AVERTISSEMENT: Ce script est uniquement destiné à des fins éducatives et à des tests dans des environnements autorisés. Toute utilisation non autorisée est interdite et peut être illégale.

📋 Description

Ce dépôt contient une preuve de concept (PoC) fonctionnelle pour la vulnérabilité CVE-2026-20253, qui affecte Splunk Enterprise dans des versions spécifiques. La vulnérabilité permet à un attaquant non authentifié :

• De créer des fichiers arbitraires sur le système
• De tronquer des fichiers existants
• D'exécuter des commandes à distance (RCE) en tant qu'utilisateur splunk

La recherche technique a été réalisée par watchTowr Labs et la vulnérabilité a été signalée par Alex Hordijk (hordalex).

🔍 Détails de la vulnérabilité

Versions affectées

Impact

• Authentification: Non requise
• Complexité de l'attaque: Faible
• Impact: Confidentialité, Intégrité et Disponibilité (COMPLET)

🚀 Caractéristiques du PoC

✅ Détection de vulnérabilité - Vérifie si la cible est vulnérable ✅ Primitive d'écriture de fichier - Crée/tronque des fichiers arbitraires ✅ Exécution de code à distance - Exécute des commandes sur le système cible ✅ Résultats lisibles - Récupère la sortie des commandes exécutées ✅ Nettoyage - Option pour supprimer les artefacts créés

📦 Prérequis

• Python 3.6+
• requests (bibliothèque Python)
• Splunk Enterprise vulnérable (pour les tests)

Installation des dépendances

pip install requests

## 🔬 Comment ça fonctionne

### Chaîne d'attaque

1. **Détection**: Le script vérifie si l'endpoint `/backup` est accessible sans authentification.

2. **Primitive d'écriture de fichier**: En utilisant l'endpoint `/backup`, le script crée des fichiers vides à n'importe quel emplacement du système.

3. **RCE (Remote Code Execution)** :
   - Le script se connecte à un serveur PostgreSQL contrôlé par l'attaquant
   - Utilise `pg_dump` pour créer un dump malveillant sur le système cible
   - Utilise `pg_restore` pour exécuter des fonctions PL/pgSQL qui écrivent le payload
   - Le payload est écrit dans un script que Splunk exécute automatiquement

4. **Exécution de la commande**: Le script malveillant s'exécute et le résultat est enregistré dans un fichier accessible via le web.

### Schéma de l'attaque