CVE-2026-20253 - Splunk Enterprise Pre-Auth RCE PoC

⚠️ AVVERTENZA: Questo script è solo a scopo educativo e di test in ambienti autorizzati. L'uso non autorizzato è vietato e può essere illegale.

📋 Descrizione

Questo repository contiene un Proof of Concept (PoC) funzionale per la vulnerabilità CVE-2026-20253, che colpisce Splunk Enterprise in versioni specifiche. La vulnerabilità consente a un attaccante non autenticato di:

• Creare file arbitrari nel sistema
• Troncare file esistenti
• Eseguire comandi in remoto (RCE) come utente splunk

La ricerca tecnica è stata condotta da watchTowr Labs e la vulnerabilità è stata segnalata da Alex Hordijk (hordalex).

🔍 Dettagli della Vulnerabilità

Versioni Affette

Impatto

• Autenticazione: Non richiesta
• Complessità dell'attacco: Bassa
• Impatto: Riservatezza, Integrità e Disponibilità (COMPLETO)

🚀 Caratteristiche del PoC

✅ Rilevamento della Vulnerabilità - Verifica se il target è vulnerabile ✅ File Write Primitive - Crea/tronca file arbitrari ✅ Remote Code Execution - Esegue comandi nel sistema target ✅ Risultati Leggibili - Recupera l'output dei comandi eseguiti ✅ Pulizia - Opzione per rimuovere artefatti creati

📦 Requisiti

• Python 3.6+
• requests (libreria Python)
• Splunk Enterprise vulnerabile (per test)

Installazione delle Dipendenze

pip install requests

🔬 Come Funziona

Catena d'Attacco

1. Rilevamento: Lo script verifica se l'endpoint /backup è accessibile senza autenticazione.
2. File Write Primitive: Usando l'endpoint /backup, lo script crea file vuoti in qualsiasi posizione del sistema.
3. RCE (Remote Code Execution):
   • Lo script si connette a un server PostgreSQL controllato dall'attaccante
   • Usa pg_dump per creare un dump malizioso nel sistema target
   • Usa pg_restore per eseguire funzioni PL/pgSQL che scrivono il payload
   • Il payload viene scritto in uno script che Splunk esegue automaticamente
4. Esecuzione del Comando: Lo script malizioso viene eseguito e il risultato viene salvato in un file accessibile via web.

Diagramma di Attacco