Se ha publicado un exploit de prueba de concepto (PoC) para la vulnerabilidad CVE-2026-20251, una falla de ejecución remota de código (RCE) de severidad alta que afecta a Splunk Secure Gateway (SSG). Con una puntuación CVSS de 8.8, este fallo permite que un atacante autenticado con bajos privilegios ejecute código arbitrario en el servidor anfitrión de Splunk sin necesidad de contar con roles de administrador.

Se ha publicado un exploit de prueba de concepto (PoC) público para el CVE-2026-20251, una vulnerabilidad de ejecución remota de código (RCE) de severidad alta que afecta a Splunk Secure Gateway (SSG).

El fallo, que tiene una puntuación CVSS de 8.8, permite que un atacante autenticado con bajos privilegios ejecute código arbitrario en el servidor host de Splunk sin necesidad de roles de administrador o de nivel de poder.

El CVE-2026-20251 reside en el flujo de procesamiento de alertas de Splunk Secure Gateway. El componente lee documentos controlados por el atacante desde el App Key Value Store (KV Store) de Splunk, específicamente la colección mobile_alerts.

Estos se pasan directamente a jsonpickle.decode(), una librería de deserialización de Python capaz de reconstruir objetos de Python arbitrarios a partir de JSON manipulados.

Aunque la llamada establece safe=True, esta bandera solo bloquea la ruta de evaluación heredada py/repr. Las etiquetas de gadgets críticas, incluyendo py/reduce, py/object, py/type, py/function y py/module, siguen siendo totalmente explotables.

Vulnerabilidad de RCE por Deserialización en Splunk Secure Gateway

Un validador secundario (check_alert_data_valid_json), destinado a bloquear etiquetas peligrosas, se interrumpe al encontrar la primera clave reconocida.

Si la primera clave de nivel superior es un valor py/object permitido que comienza con spacebridgeapp, la función devuelve inmediatamente True y nunca inspecciona las claves hermanas, incluyendo cualquier gadget py/reduce embebido.

El exploit requiere únicamente una cuenta de Splunk válida con bajos privilegios. El atacante escribe un documento de evasión especialmente diseñado en la colección KV Store de mobile_alerts a través de la API REST de Splunk.

Cuando el SSG procesa una solicitud de obtención de alertas, alerts_request_processor.py lee el documento, el validador lo aprueba (engañado por la clave señuelo py/object) y se utiliza jsonpickle.decode() para reconstruir el objeto malicioso, desencadenando la ejecución de comandos arbitrarios del sistema operativo.

La estructura del documento de evasión explota este fallo de lógica:

{
"py/object": "spacebridgeapp.data.alert_data.Alert",
"notification": {
"py/reduce": [
{"py/function": "subprocess.check_output"},
{"py/tuple": [["uname", "-a"]]}
]
}
}

El validador aprueba el documento basándose en la clave py/object y nunca llega a la carga útil maliciosa de la notificación.

El investigador Fady Oueslati de ReactiveZero Security Research publicó el PoC (poc_cve_2026_20251.py) el 26 de junio de 2026, bajo la referencia 2026FO-SPLUNK-20251.

El PoC demuestra dos condiciones independientes: la evasión del validador (devolviendo True para el documento manipulado) y la ejecución de py/reduce bajo safe=True.

La carga útil utilizada es deliberadamente benigna (uname -a). Las pruebas se realizaron en SSG 3.9.19 ejecutándose sobre Splunk Enterprise 10.0.6.

Tú y tu organización deberíais actualizar inmediatamente Splunk Secure Gateway a las versiones 3.9.20, 3.10.6 o 3.8.67, y Splunk Enterprise a 10.0.7, 10.2.4 o 10.4.0+.

Si no puedes aplicar el parche inmediatamente, desactiva o elimina por completo la aplicación Splunk Secure Gateway como mitigación a corto plazo. Sin embargo, esto desactivará las funciones de Splunk Mobile, Spacebridge y Mission Control.

Tus equipos de seguridad también deberían aplicar roles de privilegio mínimo, restringir el acceso de escritura del KV Store a la colección mobile_alerts y reemplazar jsonpickle.decode() en las rutas de código accesibles para el atacante por analizadores con validación de esquema estricta.