Mobile-Menu

CVE-2026-20253 in Splunk Enterprise aktiv ausgenutzt Splunk Enterprise anfällig für Datei­operationen ohne Authentifizierung

Von Thomas Joos 2 min Lesedauer

Splunk schließt die kritische und aktiv ausgenutzte Schwachstelle CVE-2026-20253 im Dienst PostgreSQL-Sidecar von Splunk Enterprise. Die Lücke er­laubt jedem netzwerk­er­reich­baren Angreifer ohne Authentifizierung Datei­operationen auszuführen. Updates auf 10.2.4 und 10.0.7 sowie ein Work­around stehen bereit.

Die kritische Schwachstelle CVE-2026-20253 in PostgreSQL-Sidecar von Splunk Enterprise wird aktiv ausgenutzt.(Bild: © Santiago - stock.adobe.com)
Die kritische Schwachstelle CVE-2026-20253 in PostgreSQL-Sidecar von Splunk Enterprise wird aktiv ausgenutzt.
(Bild: © Santiago - stock.adobe.com)

Unter der Kennung CVE-2026-20253 dokumentiert das CVE-Programm eine un­au­then­ti­fi­zie­rte Dateioperation in Splunk Enterprise. Der zugehörige Sicherheitshinweis von Splunk führt die verwundbaren Versionen und die Korrektur auf. Die US-Cybersecurity-Behörde CISA hat CVE-2026-20253 in den KEV-Katalog aufgenommen und bestätigt damit eine aktive Aus­nut­zung in freier Wildbahn.

Fehlende Authentifizierung am Sidecar-Endpunkt

Die Ursache liegt im Endpoint des PostgreSQL-Sidecar-Service. Der Dienst prüft keine Identität, bevor er Dateioperationen ausführt. Jeder Nutzer mit Netzwerkzugang ruft die Funktion ohne Anmeldedaten auf und legt darüber beliebige Dateien an oder kürzt vorhandene Dateien auf Nulllänge. Die MITRE-Klassifikation ordnet den Fehler der Kategorie CWE-306 zu, dem Fehlen einer Authentifizierung für eine kritische Funktion.

Der Angriff erfordert weder gültige Zugangsdaten noch eine Aktion des Opfers. Der CVSS-3.1-Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt einen Zugriff über das Netzwerk bei niedriger Komplexität und ohne Privilegien. Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils hoch betroffen, woraus der Score von 9,8 resultiert. Das Schreiben oder Leeren von Systemdateien ermöglicht einem Angreifer die Manipulation der Installation und die Störung des Betriebs. Sicherheitsforscher zeigen zudem, dass sich die Dateioperationen über PostgreSQL-Funktionen zu einer nicht authentifizierten Remote-Code-Ausführung verketten lassen.

Betroffene Versionen und Gegenmaßnahmen

Die Schwachstelle erfasst Splunk Enterprise 10.2 in Ausgaben unterhalb von 10.2.4 sowie den Zweig 10.0 unterhalb von 10.0.7. Versionen 9.4 und älter bleiben nach Angaben von Splunk verschont. Die korrigierten Builds 10.2.4 und 10.0.7 beseitigen die Lücke. Entdeckt und gemeldet hat das Problem der Sicherheitsforscher Alex Hordijk.

Betreiber installieren vorrangig die bereinigten Versionen. Steht ein Update nicht unmittelbar zur Verfügung, senkt das Deaktivieren des PostgreSQL-Sidecar-Service das Risiko, kann jedoch abhängige Features beeinträchtigen. Bis zur Korrektur sollten Administratoren zudem den Netzwerkzugang zu betroffenen Instanzen einschränken und den Endpunkt nicht offen erreichbar halten.

(ID:50877841)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte