CVE-2026-20253 RCE pré-authentification Splunk

Outil générateur d'artefacts de détection pour RCE pré-authentification Splunk 1day

Détection en action

Le générateur d'artefacts de détection tente d'accéder au point de terminaison /v1/postgres/recovery/backup du service PostgreSQL Sidecar pour vérifier s'il est accessible ou non :

• Réponse 400 - probablement vulnérable
• Réponse 401 - probablement non vulnérable
• Autre réponse - Le service PostgreSQL Sidecar n'est pas installé (non vulnérable) ou quelque chose a affecté la réponse, veuillez vérifier manuellement

Le script a été testé sur :

• Splunk Enterprise 10.2.3 sur Linux (vulnérable)
• Splunk Enterprise 10.2.4 sur Linux (non vulnérable)

Certaines versions plus anciennes (comme Splunk 9) n'ont pas été testées.

Cette vulnérabilité mène à une RCE pré-authentification lorsqu'elle est pleinement exploitée. Aucune tentative d'exploitation n'est effectuée par ce script.

Vous devez fournir les entrées suivantes :

• -H - hôte cible.
• -r - région de votre installation Splunk (apparaît dans les URLs), par exemple : en-US.

Exemple d'exécution contre une instance vulnérable :

$ python3 watchTowr-vs-Splunk-RCE-CVE-2026-20253.py -H http://vulnerable.splunk.lab:8000 -r en-US
                         __         ___  ___________                   
         __  _  ______ _/  |__ ____ |  |_\__    ____\____  _  ________ 
         \ \/ \/ \__  \    ___/ ___\|  |  \|    | /  _ \ \/ \/ \_  __ \
          \     / / __ \|  | \  \___|   Y  |    |(  <_> \     / |  | \/
           \/\_/ (____  |__|  \___  |___|__|__  | \__  / \/\_/  |__|   
                                  \/          \/     \/                            
          
        watchTowr-vs-Splunk-CVE-2026-20253.py
        (*) CVE-2026-20253 Splunk PostgreSQL Sidecar Service Detection Artifact Generator

          - Piotr (@chudyPB) of watchTowr (@watchTowrcyber)

[+] VULNERABLE - access to /v1/postgres/recovery/backup not blocked

Exemple d'exécution contre une instance corrigée :

$ python3 watchTowr-vs-Splunk-RCE-CVE-2026-20253.py -H http://not.vulnerable.splunk.lab:8000 -r en-US
                         __         ___  ___________                   
         __  _  ______ _/  |__ ____ |  |_\__    ____\____  _  ________ 
         \ \/ \/ \__  \    ___/ ___\|  |  \|    | /  _ \ \/ \/ \_  __ \
          \     / / __ \|  | \  \___|   Y  |    |(  <_> \     / |  | \/
           \/\_/ (____  |__|  \___  |___|__|__  | \__  / \/\_/  |__|   
                                  \/          \/     \/                            
          
        watchTowr-vs-Splunk-CVE-2026-20253.py
        (*) CVE-2026-20253 Splunk PostgreSQL Sidecar Service Detection Artifact Generator

          - Piotr (@chudyPB) of watchTowr (@watchTowrcyber)

[-] NOT VULNERABLE - access to /v1/postgres/recovery/backup blocked

Description

Ce script tente de détecter si Splunk est vulnérable à la CVE-2026-20253, une RCE pré-authentification.

Versions affectées

Selon l'avis du fournisseur :

• Splunk Enterprise 10.4.0 - NON VULNÉRABLE
• Splunk Enterprise 10.2.4 - NON VULNÉRABLE
• Splunk Enterprise 10.0.7 - NON VULNÉRABLE
• Splunk Enterprise 10.2.0 à 10.2.3 - VULNÉRABLE
• Splunk Enterprise 10.0.0 à 10.0.6 - VULNÉRABLE

Suivez les laboratoires watchTowr

Pour les dernières recherches en sécurité, suivez l'équipe des laboratoires watchTowr

• https://labs.watchtowr.com/

• https://x.com/watchtowrcyber