🧨 “Splunk ออกแพตช์อุด 6 ช่องโหว่ร้ายแรง — SSRF, XSS, XXE และ DoS ครบสูตรในแพลตฟอร์ม Enterprise และ Cloud” Splunk ได้ออกชุดแพตช์ความปลอดภัยในวันที่ 2 ตุลาคม 2025 เพื่อแก้ไขช่องโหว่รวม 6 รายการใน Splunk Enterprise และ Splunk Cloud Platform โดยช่องโหว่เหล่านี้มีตั้งแต่ระดับกลางไปจนถึงระดับสูง และครอบคลุมทั้งการควบคุมสิทธิ์ที่ผิดพลาด, การโจมตีแบบ cross-site scripting (XSS), XML injection, denial-of-service (DoS) และ server-side request forgery (SSRF) ที่ไม่ต้องยืนยันตัวตน ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2025-20371 ซึ่งเป็น blind SSRF ที่เปิดทางให้ผู้โจมตีภายนอกสามารถสั่ง REST API แทนผู้ใช้ที่มีสิทธิ์สูงได้ โดยไม่ต้องล็อกอินเลย หากระบบเปิดใช้งานการตั้งค่า enableSplunkWebClientNetloc และเหยื่อถูกหลอกให้คลิกลิงก์ที่ฝังคำสั่งไว้ อีกช่องโหว่ที่น่ากังวลคือ CVE-2025-20366 ซึ่งอนุญาตให้ผู้ใช้สิทธิ์ต่ำสามารถเข้าถึงผลการค้นหาที่ควรเป็นของผู้ดูแลระบบได้ หากสามารถเดา Search ID (SID) ของ job ที่รันอยู่เบื้องหลังได้ถูกต้อง ช่องโหว่อื่น ๆ ได้แก่ ⚠️ Reflected XSS ผ่านพารามิเตอร์ dataset.command ⚠️ Stored XSS ใน error message ของ saved search ⚠️ XXE injection ผ่าน dashboard tab label ⚠️ DoS จากการส่ง LDAP bind request จำนวนมากโดยผู้ใช้ที่มีสิทธิ์เปลี่ยนการยืนยันตัวตน Splunk แนะนำให้ผู้ใช้ทุกคนอัปเดตเป็นเวอร์ชันล่าสุดทันที ได้แก่ 9.4.4, 9.3.6, 9.2.8 หรือ 10.0.1 ขึ้นไป และสำหรับผู้ใช้ Splunk Cloud ให้ตรวจสอบว่าได้รับ hotfix แล้วหรือยัง รวมถึงตั้งค่า enableSplunkWebClientNetloc ให้เป็น false หากไม่จำเป็นต้องใช้งาน ✅ ข้อมูลสำคัญจากข่าว ➡️ Splunk ออกแพตช์แก้ไขช่องโหว่ 6 รายการใน Enterprise และ Cloud Platform ➡️ CVE-2025-20371 เป็น blind SSRF ที่ไม่ต้องยืนยันตัวตน และสามารถสั่ง REST API แทนผู้ใช้สิทธิ์สูง ➡️ ช่องโหว่นี้เกิดขึ้นเมื่อเปิดใช้งาน enableSplunkWebClientNetloc และเหยื่อถูกหลอกให้คลิกลิงก์ ➡️ CVE-2025-20366 เป็น improper access control ที่เปิดให้ผู้ใช้สิทธิ์ต่ำเข้าถึงผลการค้นหา ➡️ CVE-2025-20367 และ CVE-2025-20368 เป็น XSS แบบ reflected และ stored ตามลำดับ ➡️ CVE-2025-20369 เป็น XXE injection ผ่าน dashboard tab label ➡️ CVE-2025-20370 เป็น DoS จาก LDAP bind request จำนวนมาก ➡️ แนะนำให้อัปเดตเป็นเวอร์ชัน 9.4.4, 9.3.6, 9.2.8 หรือ 10.0.1 ขึ้นไป ➡️ ผู้ใช้ Splunk Cloud ควรตรวจสอบว่าได้รับ hotfix แล้วหรือยัง ✅ ข้อมูลเสริมจากภายนอก ➡️ SSRF เป็นเทคนิคที่ใช้เซิร์ฟเวอร์เป็นตัวกลางในการส่งคำขอไปยังระบบภายในหรือ API ที่ควบคุมโดย attacker ➡️ XXE injection สามารถใช้เพื่ออ่านไฟล์ภายในเซิร์ฟเวอร์หรือทำให้ระบบล่ม ➡️ LDAP bind request ที่มากเกินไปสามารถทำให้ CPU พุ่งสูงและระบบหยุดทำงาน ➡️ XSS เป็นช่องโหว่ที่ใช้ฝัง JavaScript เพื่อขโมย session หรือหลอกผู้ใช้ ➡️ การเดา Search ID (SID) เป็นเทคนิคที่ใช้ brute-force หรือการวิเคราะห์ pattern ของระบบ https://securityonline.info/splunk-fixes-six-flaws-including-unauthenticated-ssrf-and-xss-vulnerabilities-in-enterprise-platform/