Splunk Enterprise — CVE-2026-20253 트레이닝 랩

Splunk Enterprise 10.2.3 · PostgreSQL 복구 사이드카 · CWE-306 (Missing Authentication for Critical Function) 방어 교육을 위해 실제 권고를 모델링한 공인된 자체 포함 재현입니다. Splunk의 독점 코드는 포함되지 않습니다.

이 저장소는 Vulhub/DVWA 스타일의 보안 훈련 랩입니다. Splunk Enterprise 10.2.3의 충실한 모델을 구축하고 CVE-2026-20253 뒤에 문서화된 동작을 재현합니다: 번들된 PostgreSQL 복구 사이드카는 실제 인증 없이 (빈/임의의 Basic 헤더가 허용됨) 권한 있는 파일 쓰기 및 SQL 실행 기능을 노출하며, Splunk 웹 계층은 로그인 게이트 이전에 __raw/v1/postgres/*를 해당 사이드카로 릴레이합니다. 연결되면, 이는 루트가 아닌 splunk 서비스 계정으로 인증되지 않은 원격 코드 실행을 초래합니다.

랩은 처음부터 끝까지 완전히 해결 가능합니다: 에지를 핑거프린팅하고, 사전 인증 헬스 배지를 따라 내부 복구 API에 접근하고, 임의 파일 쓰기를 증명하고, 내부 Postgres 자격 증명을 탈취하고, SQL 복원 파일 쓰기 프리미티브를 예약된 모듈형 입력 스크립트에서 코드 실행으로 전환합니다.

권고

아키텍처

                         edge network                 core network
                    ┌───────────────────┐   ┌───────────────────────────────┐
  browser ─▶ proxy :8080 ──▶ web  :8001 (SPA)
             (nginx edge)  └▶ splunkd :8089 ─┬─▶ db      :5432  (postgres)
                              login API +    ├─▶ redis   :6379  (jobs/cache)
                              __raw relay ───┼─▶ pg-sidecar :5435  ◀── THE VULN
                                             │       (recovery API, blank Basic)
  forwarders ─▶ ingest :8088 (HEC) ─────────┘
                                       scheduler ──▶ runs modular-input script
                                                     as `splunk` (uid 1000) — RCE sink
                                       shared volume app_data mounted into
                                       pg-sidecar (write) + scheduler (exec)

두 개의 Docker 브리지: edge (프록시)와 core (나머지 모든 것). 취약한 빌드에서 pg-sidecar는 core에 있으며 웹 계층의 릴레이에서 접근 가능합니다 — 그 접근성이 핵심입니다. 패치된 오버레이는 이를 격리합니다.

빠른 시작

cp .env.example .env
docker compose up --build -d

그런 다음 http://localhost:8080으로 이동합니다.

중요한 익스플로잇(복구 사이드카)은 완전히 인증되지 않음 — 로그인하지 않고도 접근할 수 있습니다. 아래 시드된 플랫폼 계정은 탐색을 위한 그레이박스 관점으로만 존재합니다 (Search & Reporting에서 Splunk 자체 감사 로그 읽기). 참가자에게 분석가 계정을 제공하고 나머지를 스스로 발견하도록 하세요.

시드된 계정

이러한 자격 증명은 의도적으로 문서화되었습니다 — 이는 독립적인 훈련 랩이지 프로덕션 시스템이 아닙니다. 이 연습은 이들 중 어떤 것도 크래킹하거나 권한 상승이 필요하지 않습니다; 중요한 pg-sidecar 복구 API는 인증되지 않았습니다. 전체 운영자 노트는 docs/DEPLOYMENT.md에 있습니다.

목표

획득해야 할 두 개의 플래그가 있습니다. 둘 다 SPLUNK{...} 문자열입니다; 그 값은 랩에 있으며 문서에서 공개됩니다 — 여기에 의도적으로 인쇄되지 않았으므로 직접 획득할 수 있습니다.

1. 플래그 1 — 인증 우회 + 자격 증명 탈취. 사전 세션 __raw 릴레이를 통해 복구 API에 도달하고, 가짜 Basic 인증을 통과하며, 사이드카의 .pgpass에서 내부 Postgres 자격 증명을 유출합니다.
2. 플래그 2 — splunk로 인증되지 않은 RCE. 사이드카의 파일 쓰기 및 SQL 복원 프리미티브를 예약된 모듈형 입력 스크립트에서 코드 실행으로 전환한 다음 보호된 비밀을 읽습니다.

건너뛰지 마십시오: docs/DISCOVERY_WALKTHROUGH.md는 스포일러가 아닌 발견되도록 작성되었습니다. 단계별 힌트 사다리와 전체 강사용 솔루션은 훈련 직원을 위해 존재하지만 이 패키지에는 포함되지 않아 연습이 블라인드 솔브 상태로 유지됩니다.

문서

수정

patched/ 트리는 Splunk의 실제 수정 (10.2.4)과 권고의 해결 방법을 심층 방어로 계층화하여 미러링합니다: 복구 경로에 실제 자격 증명 검증, backupFile 경로 탐색 삭제, libpq 연결 문자열 주입 제거, 비슈퍼유저 복원 역할, 사전 인증 __raw 릴레이 제거, 사이드카 네트워크 격리. patched/PATCH_NOTES.md를 참조하십시오.

오버레이를 사용하여 강화된 빌드를 시작하십시오:

docker compose -f docker-compose.yml -f patched/deploy/compose.override.hardened.yml up --build -d

해결 방법 (패치 없음)

권고의 완화 조치를 미러링하여 패치 없이 복구 사이드카를 완전히 비활성화할 수 있습니다 — server.conf에서 [postgres] disabled = true 설정과 유사합니다. .env에 다음을 설정하고 스택을 재생성하십시오:

PG_SIDECAR_DISABLED=true

사이드카가 비활성화되면 recovery/* 함수가 사라지고 체인이 소스에서 끊어집니다.

훈련 자료. 이 랩은 방어 교육을 위해 Splunk Enterprise CVE-2026-20253을 모델링한 공인된 자체 포함 재현입니다. Splunk의 독점 소스나 바이너리는 포함되어 있지 않습니다; 여기의 서비스는 문서화된 취약한 동작의 독립적인 재구현입니다. 이 랩에 대해서만 사용하십시오. 귀하가 소유하지 않은 시스템에 대해 이러한 기술을 실행하는 것은 불법입니다.

참고문헌

• Splunk 보안 권고 — SVD-2026-0603 — https://advisory.splunk.com/advisories/SVD-2026-0603
• NVD — CVE-2026-20253 — https://nvd.nist.gov/vuln/detail/CVE-2026-20253
• Picus Security — Splunk 복구 사이드카 RCE 기술 분석
• Orca Security — PostgreSQL 사이드카 인증 누락 결함 분석
• The Hacker News — 중요 Splunk Enterprise 취약점 보도
• Help Net Security — 권고 요약 및 수정 지침
• BleepingComputer — CVE-2026-20253 보고