Falsificación de Solicitud del Servidor Ciega (SSRF) a través de Pares de Búsqueda Distribuidos en Splunk Enterprise

Un atacante que explote esta vulnerabilidad podría obtener información sensible sobre la infraestructura interna de la red donde se ejecuta Splunk. Al poder enumerar direcciones IP y puertos, el atacante podría identificar servicios expuestos internamente, mapear la topología de la red y, potencialmente, encontrar otros sistemas vulnerables para explotar. Aunque la severidad es baja según CVSS, el impacto puede ser significativo en entornos donde la segmentación de red no es robusta, permitiendo un posible movimiento lateral dentro de la red. La capacidad de enumerar puertos podría revelar servicios críticos que, de ser comprometidos, podrían llevar a una brecha de seguridad mayor.

Organizations utilizing Splunk Enterprise or Cloud Platform with distributed search architectures are at risk. Specifically, environments where users have been granted the change_authentication role without proper justification or oversight are particularly vulnerable. Shared hosting environments or those with legacy configurations where role assignments are not regularly reviewed should prioritize remediation.

• linux / server:

journalctl -u splunkd | grep -i "search peer" && journalctl -u splunkd | grep -i "internal ip"

• generic web:

curl -I <splunk_search_head_url>/services/server/peer_status | grep -i "internal ip"

1. 2025-12-03Disclosure

   disclosure

1. Reservado2024-10-10
2. Publicada2025-12-03
3. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-20388 es actualizar Splunk Enterprise o Splunk Cloud Platform a una versión corregida. La versión fija es 10.1.2507.4 para Splunk Enterprise y 10.0.2503.7 y 9.3.2411.116 para Splunk Cloud Platform. Si la actualización inmediata no es posible, se recomienda restringir el acceso a la capacidad change_authentication a un mínimo de usuarios necesarios. Además, se pueden implementar reglas en un Web Application Firewall (WAF) o proxy para bloquear solicitudes salientes a direcciones IP internas. La monitorización de logs de Splunk en busca de patrones de solicitudes inusuales a direcciones IP internas también puede ayudar a detectar intentos de explotación.