Vulnerabilidade RCE pré-autenticação no Splunk Enterprise CVE-2026-20253

A CVE-2026-20253 não é só mais uma RCE pré-autenticação: é um colapso de camadas de segurança projetadas para proteger dados sensíveis. O PostgreSQL Sidecar Service foi introduzido na versão 10 como parte da migração para arquitetura modular, mas, ao contrário do que se esperaria, ele roda sem autenticação e com permissões elevadas do usuário splunk, mesmo em ambientes AWS onde está ativado por padrão. O ataque explora um desenho crítico: o endpoint /v1/postgres/recovery/backup aceita qualquer valor no campo database, inclusive strings de conexão completas. Isso faz o pg_dump ignorar o -h localhost hardcoded e conectar-se a um servidor externo controlado pelo atacante, transformando uma operação de backup legítima em um canal de exfiltração e injeção.

O ponto de inflexão técnico é o arquivo .pgpass: armazenado em texto simples no diretório do Splunk, ele contém credenciais do administrador do PostgreSQL local (postgres_admin). Uma vez obtidas, o atacante pode acessar diretamente a instância interna e substituir scripts Python executados pelo Splunk, como ssg_enable_modular_input.py, para obter RCE com privilégios persistentes. Isso não é teórico, o PoC da watchTowr demonstrou escrita arbitrária em /tmp e substituição de módulos do Secure Gateway, componente crítico para integrações com fontes externas.

Empresas que usam Splunk Enterprise como SIEM ou plataforma central de observabilidade estão expostas a um risco único: um atacante pode invadir o próprio sistema de detecção antes mesmo de tentar comprometer outros ativos. A falha permite bypass completo de controles de acesso, escalonamento de privilégios e persistência via substituição de código assinado, tudo sem credenciais. Como o Splunk é frequentemente exposto à internet (especialmente em implantações AWS), essa vulnerabilidade torna-se um alvo prioritário para ransomware e APTs. A ausência de mitigação eficaz além da atualização, como desabilitar o sidecar, mostra que a correção não é apenas técnica, mas arquitetural: confiar em 'localhost-only' sem isolamento de rede ou autenticação explícita é uma falha estrutural em sistemas de segurança.