Splunk Enterprise PostgreSQL 사이드카 서비스 미인증 임의 파일 생성 및 원격 코드 실행(RCE) 취약점 (CVE-2026-20253)

1. 공식 보안 패치 적용

Splunk 공식 권고에 따라 영향받는 시스템을 아래의 안전한 버전으로 신속히 업그레이드하십시오.

• Splunk Enterprise 10.2.x 사용자: 10.2.4 이상 버전으로 업그레이드
• Splunk Enterprise 10.0.x 사용자: 10.0.7 이상 버전으로 업그레이드

2. 임시 완화 조치 (패치 적용 전)

즉각적인 업그레이드가 불가능한 환경에서는 PostgreSQL 사이드카 서비스를 비활성화하여 취약점 노출을 차단할 수 있습니다.

splunk-launch.conf 또는 관련 구성 파일에서 해당 사이드카 서비스 활성화 여부를 확인하고 비활성화 설정을 적용하십시오.

# PostgreSQL 사이드카 서비스 비활성화 예시 (환경에 맞게 조정)
# Splunk 서비스를 중지한 후 설정을 변경하고 재시작합니다.
./splunk stop

# PostgreSQL 사이드카 포트(기본값 등)로의 외부 네트워크 접근을 방화벽(iptables/UFW)에서 차단하십시오.
iptables -A INPUT -p tcp --dport 5432 -j DROP

본 취약점(CVE-2026-20253)은 Splunk Enterprise의 PostgreSQL 사이드카 서비스 엔드포인트에서 적절한 인증 제어(CWE-306)가 누락되어 발생합니다.

네트워크 접근이 가능한 공격자는 어떠한 자격 증명 없이도 해당 엔드포인트를 직접 호출할 수 있으며, 이를 통해 시스템 내에 임의의 파일을 생성하거나 기존 파일을 잘라내기(Truncate)할 수 있습니다. 공격자는 이 파일 조작 권한을 악용하여 웹쉘을 업로드하거나 시스템 구성 파일을 변조함으로써 최종적으로 대상 서버에서 원격 코드 실행(RCE) 권한을 획득할 수 있습니다. 본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로 평가되었으며, 실제 야생에서 악용되고 있음이 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었습니다.