Over 400 Arch Linux-pakker kompromittert for å distribuere rootkit og informasjonsstjeler. Kritisk Splunk-sårbarhet muliggjør uautentisert RCE.
Over 400 Arch Linux-pakker kompromittert for å distribuere rootkit og informasjonsstjeler
Over 400 pakker i Arch User Repository (AUR) har blitt kompromittert og brukt til å distribuere skadevare som kombinerer informasjons stjeling og et Linux-rootkit. En ny vedlikeholder utga seg for å være en betrodd publisist og modifiserte pakker slik at et installasjonsskript ble lastet ned og kjørte en ondsinnet npm pakke, "atomic lockfile." Denne pakken installerte et ELF-program kalt "deps", som er beskrevet som en legitimasjonsstjeler med valgfrie eBPF rootkit-funksjoner som kan skjule prosesser i systemet. Berørte komponenter er AUR pakker, PKGBUILD skript og den ondsinnede npm-pakken "atomic lockfile." Skadevaren retter seg mot GitHub-legitimasjon, SSH-artefakter, HashiCorp Vault token, nettleser cookies, samt Slack-, Discord-, Microsoft Teams- og Telegram-data. Analysen viste også funksjoner for arkivering av data, håndtering av flerdelte filer og HTTP-opplasting for eksfiltrering av innsamlet informasjon. AUR vedlikeholdere arbeider med å identifisere og fjerne ondsinnede endringer samt blokkere kontoene som distribuerte dem.
Gjennomgå listen over berørte pakker og indikatorene på kompromittering, og roter alle legitimasjoner dersom kompromitterte pakker er installert.
Kritisk Splunk-sårbarhet muliggjør uautentisert RCE
Splunk har publisert sikkerhetsoppdateringer for en kritisk sårbarhet (CVE-2026-20253) i Splunk Enterprise som kan gi angripere uautorisert tilgang til filoperasjoner og i verste fall remote code execution (RCE) – uten autentisering. Feilen har CVSS-score på 9,8 og påvirker versjoner før 10.0.7 og 10.2.4.
Sårbarheten skyldes manglende autentiseringskontroll i en PostgreSQL sidecar-tjeneste, som eksponerer endepunktene /v1/postgres/recovery/backup og /v1/postgres/recovery/restore. En angriper kan utnytte disse til å laste inn en ondsinnet database-dump og få SQL-kode kjørt direkte i Splunks lokale PostgreSQL-instans.
Angrepskjeden gjør det mulig å skrive vilkårlige filer til filsystemet ved hjelp av funksjoner som lo_export. Dette kan eskaleres til RCE ved å overskrive eksisterende Python-skript som Splunk kjører regelmessig, og dermed injisere en payload. Splunk Cloud er ikke berørt, da den ikke bruker PostgreSQL sidecars.
Det er foreløpig ingen bekreftet aktiv utnyttelse, men detaljerte exploit-beskrivelser er offentlig tilgjengelige. Dette øker risikoen for rask utnyttelse. Det anbefales å oppgradere til versjon 10.0.7 eller 10.2.4 umiddelbart og begrense nettverkstilgang til berørte tjenester.
