CVE-2026-20240 Splunk Enterprise拒绝服务漏洞

Splunk Enterprise及Splunk Cloud Platform存在安全漏洞。低权限用户可利用`splunk_archiver`应用内的`coldToFrozen.sh`脚本，该脚本因缺少输入验证而接受任意文件路径。攻击者可利用此缺陷重命名Splunk的关键系统目录，导致实例功能失效。该漏洞无需管理员权限即可触发，最终造成严重的拒绝服务。

该漏洞的核心在于Splunk `splunk_archiver`应用中的`coldToFrozen.sh`脚本缺乏对用户输入路径的有效验证机制。该脚本原本用于处理冷数据归档任务，但在处理参数时未对目标路径进行安全限制，导致其接受任意文件系统路径。一个仅拥有低权限的用户（不具备admin或power角色）可以通过网络接口触发该脚本，并构造包含关键系统目录路径的恶意载荷。脚本在执行过程中会直接对传入的路径进行重命名操作，进而将Splunk运行所需的关键目录（例如存储配置的`etc`目录或存储可执行文件的`bin`目录）移位或重命名。一旦这些核心目录被重命名，Splunk服务将因无法定位必要文件而陷入不可用状态，导致严重的拒绝服务。