CVE-2026-20253 - Splunk Enterprise 预认证RCE PoC

⚠️ 警告: 此脚本仅用于教育目的和授权环境下的测试。未经授权的使用是被禁止的，并且可能是非法的。

📋 描述

本仓库包含针对 CVE-2026-20253 漏洞的功能性概念验证（PoC），该漏洞影响特定版本的 Splunk Enterprise。该漏洞允许未认证的攻击者：

• 在系统上创建任意文件
• 截断现有文件
• 以 splunk 用户身份远程执行命令（RCE）

技术研究由 watchTowr Labs 完成，漏洞由 Alex Hordijk（hordalex） 报告。

---

🔍 漏洞详情

字段	值
CVE ID	CVE-2026-20253
CVSS 分数	9.8（严重）
向量	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-306 - 关键功能缺少认证
发布日期	2026-06-10
加入 KEV	2026-06-18

受影响版本

产品	受影响版本	修复版本
Splunk Enterprise	10.0.0 - 10.0.6	10.0.7
Splunk Enterprise	10.2.0 - 10.2.3	10.2.4
Splunk Enterprise	10.4.0 及以上	不受影响
Splunk Enterprise	9.4.x 及更早版本	不受影响

影响

• 认证: 不需要
• 攻击复杂度: 低
• 影响: 机密性、完整性和可用性（完全）

---

🚀 PoC 特性

✅ 漏洞检测 - 验证目标是否易受攻击 ✅ 文件写入原语 - 创建/截断任意文件 ✅ 远程代码执行 - 在目标系统上执行命令 ✅ 可读结果 - 获取已执行命令的输出 ✅ 清理 - 删除创建的人工制品选项

---

📦 要求

• Python 3.6+
• requests（Python 库）
• Splunk Enterprise 易受攻击版本（用于测试）

安装依赖

pip install requests

## 🔬 工作原理

### 攻击链

1. **检测**: 脚本检查 `/backup` 端点是否无需认证即可访问。

2. **文件写入原语**: 通过 `/backup` 端点，脚本在系统任意位置创建空文件。

3. **RCE（远程代码执行）**:
   - 脚本连接到攻击者控制的 PostgreSQL 服务器
   - 使用 `pg_dump` 在目标系统上创建恶意转储
   - 使用 `pg_restore` 执行写入 payload 的 PL/pgSQL 函数
   - payload 被写入 Splunk 自动执行的脚本中

4. **命令执行**: 恶意脚本运行，结果保存在可通过 Web 访问的文件中。

### 攻击示意图