Splunk Enterprise — Laboratório de Treinamento CVE-2026-20253

Splunk Enterprise 10.2.3 · sidecar de recuperação PostgreSQL · CWE-306 (Autenticação Ausente para Função Crítica) Uma reprodução autorizada e autocontida que modela o aviso real para educação defensiva. Ela não inclui o código proprietário da Splunk.

Este repositório é um laboratório de treinamento de segurança no estilo Vulhub/DVWA. Ele monta um modelo fiel do Splunk Enterprise 10.2.3 e reproduz o comportamento documentado por trás do CVE-2026-20253: o sidecar de recuperação PostgreSQL incluído expõe funções privilegiadas de escrita de arquivos e execução de SQL sem autenticação real (um cabeçalho Basic vazio/qualquer é aceito), e a camada web do Splunk retransmite __raw/v1/postgres/* para esse sidecar antes da barreira de login. Encadeados, isso resulta em execução remota de código não autenticada como a conta de serviço não-root splunk.

O laboratório é totalmente solucionável de ponta a ponta: faça o fingerprint do edge, siga um indicador de saúde pré-autenticação até a API de recuperação interna, prove a escrita arbitrária de arquivos, roube a credencial interna do Postgres e transforme a primitiva de escrita de arquivos do SQL-restore em execução de código em um script de entrada modular agendado.

Aviso

Arquitetura

                         edge network                 core network
                    ┌───────────────────┐   ┌───────────────────────────────┐
  browser ─▶ proxy :8080 ──▶ web  :8001 (SPA)
             (nginx edge)  └▶ splunkd :8089 ─┬─▶ db      :5432  (postgres)
                              login API +    ├─▶ redis   :6379  (jobs/cache)
                              __raw relay ───┼─▶ pg-sidecar :5435  ◀── THE VULN
                                             │       (recovery API, blank Basic)
  forwarders ─▶ ingest :8088 (HEC) ─────────┘
                                       scheduler ──▶ runs modular-input script
                                                     as `splunk` (uid 1000) — RCE sink
                                       shared volume app_data mounted into
                                       pg-sidecar (write) + scheduler (exec)

Duas bridges Docker: edge (proxy) e core (todo o resto). Na variante vulnerável, o pg-sidecar fica em core e é alcançável a partir do relay da camada web — essa alcançabilidade é o ponto central. O overlay corrigido o isola.

Início rápido

cp .env.example .env
docker compose up --build -d

Em seguida, acesse http://localhost:8080.

O exploit crítico (o sidecar de recuperação) é totalmente sem autenticação — você não precisa fazer login para alcançá-lo. As contas de plataforma pré-cadastradas abaixo existem apenas como pontos de observação grey-box para descoberta (leitura dos próprios logs de auditoria do Splunk em Search & Reporting). Entregue aos participantes a conta analyst e deixe que descubram o restante.

Contas pré-cadastradas

Estas credenciais são intencionalmente documentadas — este é um laboratório de treinamento autocontido, não um sistema de produção. O exercício não exige quebrar ou escalar nenhuma delas; a API de recuperação crítica do pg-sidecar não é autenticada. As notas completas do operador estão em docs/DEPLOYMENT.md.

Objetivos

Há duas flags para capturar. Ambas são strings SPLUNK{...}; seus valores estão no laboratório e são revelados na documentação — eles não são impressos aqui propositalmente, para que você possa conquistá-las.

1. Flag 1 — bypass de autenticação + roubo de credenciais. Alcance a API de recuperação através do relay __raw de pré-sessão, passe pela autenticação Basic falsa e vaze a credencial interna do Postgres do .pgpass do sidecar.
2. Flag 2 — RCE não autenticado como splunk. Transforme as primitivas de escrita de arquivos e de restauração SQL do sidecar em execução de código no script de entrada modular agendado e, em seguida, leia o segredo protegido.

Não pule etapas: docs/DISCOVERY_WALKTHROUGH.md foi escrito para ser descoberto, não estragado. Uma escada de dicas em níveis graduais e a solução completa do instrutor existem para a equipe de treinamento, mas são mantidas fora deste pacote para que o exercício continue sendo uma solução às cegas.

Documentação

Remediação

A árvore patched/ reflete a correção real da Splunk (10.2.4) e a mitigação do aviso, em camadas de defesa em profundidade: validação real de credenciais nas rotas de recuperação, sanitização de path traversal no backupFile, eliminação da injeção na connection string do libpq, uma role de restauração sem superusuário, remoção do relay __raw pré-autenticação e isolamento de rede do sidecar. Consulte patched/PATCH_NOTES.md.

Suba a versão endurecida com o overlay:

docker compose -f docker-compose.yml -f patched/deploy/compose.override.hardened.yml up --build -d

Mitigação alternativa (sem patch)

Espelhando a mitigação do aviso, você pode desabilitar totalmente o sidecar de recuperação sem aplicar patch — o análogo a definir [postgres] disabled = true em server.conf. Defina o seguinte no seu .env e recrie a stack:

PG_SIDECAR_DISABLED=true

Com o sidecar desabilitado, as funções recovery/* deixam de existir e a cadeia é quebrada na origem.

Material de treinamento. Este laboratório é uma reprodução autorizada e autocontida que modela o CVE-2026-20253 do Splunk Enterprise para educação defensiva. Ele não contém o código-fonte ou binários proprietários da Splunk; os serviços aqui são uma reimplementação independente do comportamento vulnerável documentado. Use apenas contra este laboratório. Executar essas técnicas contra sistemas que não são seus é ilegal.

Referências

• Aviso de Segurança da Splunk — SVD-2026-0603 — https://advisory.splunk.com/advisories/SVD-2026-0603
• NVD — CVE-2026-20253 — https://nvd.nist.gov/vuln/detail/CVE-2026-20253
• Picus Security — artigo técnico sobre o RCE do sidecar de recuperação do Splunk
• Orca Security — análise da falha de autenticação ausente no sidecar PostgreSQL
• The Hacker News — cobertura da vulnerabilidade crítica do Splunk Enterprise
• Help Net Security — resumo do aviso e orientações de remediação
• BleepingComputer — reportagem sobre o CVE-2026-20253