Splunk Enterprise 近期披露了一個極其嚴重的安全漏洞 CVE-2026-20253，其 CVSS 評分高達 9.8 分。這個漏洞最危險的地方在於，攻擊者不需要任何帳號密碼（未經認證），就能在目標伺服器上執行任意程式碼，也就是所謂的 RCE (Remote Code Execution)。對於維運工程師來說，這意味著只要伺服器的網路埠對外開放，攻擊者就能直接接管系統。
漏洞的核心成因在於 PostgreSQL Sidecar 服務。Sidecar 在軟體架構中是指一個與主應用程式併行運行的輔助進程，用來處理特定功能。在 Splunk 中，這個 Sidecar 服務負責管理 PostgreSQL 資料庫的備份與還原。然而，該服務的特定 API 端點缺乏身分驗證機制，導致任何能連線到該網路埠的使用者，都可以直接調用檔案操作指令。
攻擊路徑的技術細節
這次漏洞的攻擊鏈條非常完整且精巧，攻擊者採取了三步走的策略。
第一步是利用備份端點。攻擊者會先架設一個自己控制的惡意資料庫，然後透過 Splunk 的 backup 端點，將這個惡意資料庫的內容直接傾印 (Dump) 到 Splunk 伺服器的任意路徑中。
第二步是利用還原端點進行權限提升。攻擊者調用 restore 端點將剛才傾印的內容還原回本地的 PostgreSQL 實例。在還原過程中，攻擊者可以指定一個名為 passfile 的參數，指向系統內預設的密碼文件。這樣一來，攻擊者就能以 postgres_admin 的高權限執行 SQL 指令。
第三步是從資料庫跳轉到作業系統。攻擊者在惡意資料庫中定義了一個特殊函數，利用 PostgreSQL 的 lo_export 功能。lo_export 本意是用來將資料庫中的大物件 (BLOB) 匯出成檔案，但被濫用後就變成了任意檔案寫入工具。攻擊者利用此功能，將惡意內容寫入 Splunk 經常執行的 Python 腳本中。當 Splunk 系統自動觸發該腳本時，惡意程式碼隨之執行，最終達成遠端程式碼執行 RCE。
受影響範圍與修復建議
此漏洞影響 Splunk Enterprise 10.0.0 至 10.0.6 以及 10.2.0 至 10.2.3 版本。而 10.4 版本以及 Splunk Cloud 則不受影響，因為雲端版本並不使用這種 PostgreSQL Sidecar 架構。
對於工程團隊的實務建議是立即更新至 10.0.7 或 10.2.4 以上版本。在更新完成前，應優先檢查防火牆設定，限制對 Splunk 管理埠的存取，確保只有受信任的內部 IP 能夠連線，以降低被外部掃描並利用的風險。
雖然目前尚未有大規模被利用的實例報告，但由於詳細的攻擊路徑已經公開，攻擊者極有可能開發自動化工具進行掃描，因此這是一個必須優先處理的高風險漏洞。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。