SAN FRANCISCO / LONDON (IT BOLTWISE) – Splunk warnt vor einer kritischen Sicherheitslücke in Splunk Enterprise, die ohne Authentifizierung beliebige Dateivorgänge erlauben kann und im schlimmsten Fall zu Remote Code Execution (RCE) führt. Ausgelöst wird die Schwachstelle über einen PostgreSQL-Sidecar-Endpunkt, der für Dateimanipulationen keine ausreichenden Schutzmechanismen vorsieht. Die Sicherheitsbewertung liegt bei 9,8 (CVSS). Für Unternehmen zählt jetzt vor allem Tempo: Betroffene Versionen müssen zeitnah auf die bestätigten Fix-Releases aktualisiert werden.
Splunk Enterprise steht erneut im Fokus der Unternehmenssicherheit: Der Anbieter hat Sicherheitsupdates veröffentlicht, weil eine kritische Schwachstelle es Angreifern potenziell erlaubt, ohne vorherige Authentifizierung Dateivorgänge auszuführen und in einer erweiterten Angriffskette sogar Remote Code Execution zu erreichen. Verantwortlich ist nach aktuellen Angaben ein PostgreSQL-Sidecar-Service-Endpunkt, dessen Sicherheitslogik unzureichend ist. Die Lücke ist unter CVE-2026-20253 erfasst und erzielt 9,8 Punkte auf der CVSS-Skala, was sie in die Kategorie „höchste Priorität“ für produktive Umgebungen drückt. Bereits das Vorhandensein funktionierender Exploit-Details kann zudem opportunistische Versuche durch Angreifer nach sich ziehen.
Konkret nennt Splunk mehrere betroffene Versionen: Splunk Enterprise unter 10.2.4 sowie 10.0.7, wobei die Fixes in nachfolgenden Releases ausgeliefert wurden. Laut Hersteller ist der entscheidende Fehler, dass der PostgreSQL-sidecar-Endpunkt ohne Authentifizierungskontrollen arbeitet. Damit kann jeder, der das System netzwerkseitig erreichen kann, Dateibetriebsarten wie Erstellen oder Trunkieren auslösen – unabhängig von Benutzerrechten. Für den Betrieb bedeutet das: Selbst segmentierte Netze helfen nur dann ausreichend, wenn der Endpunkt nicht erreichbar ist, denn die fehlende Authentifizierung macht klassische Zugriffsannahmen obsolet.
Technisch wird die Relevanz durch die von WatchTowr Labs und weiteren Forschern beschriebenen Mechaniken sichtbar. Der Angriff soll über die Endpunkte /v1/postgres/recovery/backup und /v1/postgres/recovery/restore vor-authentifiziert funktionieren. Die Kette beginnt typischerweise damit, dass der Angreifer eine Angreifer-kontrollierte Datenbank bereitstellt, deren Inhalte per „Backup“-Pfad als beliebige Datei auf dem Splunk-Dateisystem abgelegt werden. Anschließend wird über „Restore“ ein Import angestoßen, der über ein passfile-Argument auf eine .pgpass-Datei verweist. So können SQL-Anweisungen aus dem dump technisch in der lokalen PostgreSQL-Instanz ausgeführt werden.
Entscheidend ist dabei die Überbrückung von „Datenmanipulation“ zu „Codeausführung“. Die Forschenden beschreiben, dass ein Angreifer mithilfe der Möglichkeiten des Datenimports eine Funktion definieren kann, die Inhalte (z. B. BLOBs) extrahiert und als Datei auf dem System schreibt. Dadurch entsteht eine Art Arbitrary-File-Write-Primitiv auf Splunks Plattform. In der nächsten Stufe kann das System zusätzlich ausgenutzt werden, indem eine häufig ausgeführte Python-Datei überschrieben wird, die im Kontext der Modular-Input-Logik steht. Der Datenimport dient damit nicht nur dem „Lesen“, sondern als Vehikel, um persistenten bzw. wiederverwendbaren ausführbaren Code zu platzieren.
Dass Splunk Cloud nicht betroffen sei, wird mit einer strukturellen Architekturbegründung geliefert: Postgres sidecars würden im Cloud-Produkt nicht eingesetzt. Diese Differenz ist für die Markt- und Betriebsstrategie zentral, weil sich das Risikoprofil für On-Premise-Deployments stark von vollständig verwalteten SaaS-Betriebsmodellen unterscheidet. Im Enterprise-Umfeld verschärft sich zudem der Kontext aus dem Wettbewerb der Observability- und Security-Stacks: Während Anbieter wie Elastic (mit Elasticsearch, Kibana und dem Ökosystem um Ingest/Processing) ebenfalls stark auf sichere Integrationen achten müssen, zeigen solche Fälle, dass die Angriffsfläche in der Praxis häufig an Schnittstellen entsteht, die für Betriebsfunktionen vorgesehen sind – insbesondere bei Komponenten, die intern Datenbank-ähnliche Recovery-Workflows verwenden.
Aus Expertensicht zeigt der Fall eine typische Entwicklung der letzten Jahre: Angriffsketten verschieben sich von „einfachen“ Auth-Bypasses hin zu mehrstufigen Umgehungen, bei denen zuerst Dateizugriff entsteht, danach privilegierte Aktionen nachziehen und schließlich Skripte oder Module im Zielsystem erreicht werden. In einem Interview bzw. in veröffentlichten technischen Details betonten die Forschenden Piotr Bazydlo und Yordan Ganchev sinngemäß, dass der Weg über die Wiederherstellung auch ohne vorherige Authentifizierung zu einem kontrollierten File-Write führt und damit die Basis für weitere Schritte liefert. Für Security-Teams bedeutet das: Patch-Management reicht allein nicht, wenn angriffsrelevante Endpunkte während der Recovery-/Postgres-Kopplung grundsätzlich erreichbar bleiben.
Regulatorisch und im Sinne der Datenschutz- und Compliance-Pflichten ist die Lage klar: Ein erfolgreicher Angriff kann nicht nur Betriebsintegrität gefährden, sondern auch potenziell zu Datenexfiltration oder Manipulation von Protokoll- und Analyseartefakten führen. Gerade SIEM- und Log-Umgebungen sind in vielen Unternehmen zentrale Quellen für Incident Response und Auditierbarkeit. Unternehmen sollten deshalb nach dem Update zusätzlich prüfen, ob relevante Management-Interfaces, Sidecar-Komponenten und Recovery-Endpunkte konsequent segmentiert und nur aus vertrauenswürdigen Netzen erreichbar sind. Außerdem empfiehlt sich eine Überprüfung, ob die Umgebung durch Monitoring-Regeln auf ungewöhnliche Dateiänderungen oder verdächtige Restore- bzw. Backup-Aufrufe reagiert.
Der Ausblick für die nächsten Wochen ist zweigeteilt: Einerseits werden viele Organisationen den Patch kurzfristig einspielen, andererseits steigt die Wahrscheinlichkeit opportunistischer Angriffe, sobald Exploit-Details öffentlich zirkulieren. Splunk formuliert sinngemäß, dass es keine belastbaren Hinweise auf eine Ausnutzung in freier Wildbahn gibt – doch die Verfügbarkeit konkreter Angriffswege genügt, um das Risiko zeitnah anzuheben. Für Entwickler und Betreiber lautet die nächste Implikation: Neben dem Upgrade sollten Architekturannahmen über Authentifizierung und interne Service-Kopplung überprüft werden. Wer zudem automatisierte Deployments nutzt, kann Fixes schneller ausrollen und Zeitfenster reduzieren, in denen ein angreifbarer Zustand noch besteht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Splunk Enterprise: Kritische Lücke ermöglicht Dateizugriff und potenzielle RCE ohne Authentifizierung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Splunk Enterprise: Kritische Lücke ermöglicht Dateizugriff und potenzielle RCE ohne Authentifizierung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Splunk Enterprise: Kritische Lücke ermöglicht Dateizugriff und potenzielle RCE ohne Authentifizierung« bei Google Deutschland suchen, bei Bing oder Google News!