تغطية كشف Exploitarium KQL

قواعد كشف KQL لـ Microsoft Sentinel و Defender XDR تغطي الإفصاح المجهول bikini/exploitarium — أرشيف بحث شخصي يحتوي على أكثر من 15 هدف ثغرة متميز عبر أكثر من 109 ملف متتبع، تم إصداره دون إخطار البائع في 23 يونيو 2026.

54 قاعدة | 23 مجلد منتج | KQL | المؤلف: Ethan Andrews (@eandrews)

آخر تحديث: 7/1/2026

تقرير الاستخبارات: https://systemtwosecurity.com/share/inspiration/VNJMKFVM

خلفية

باحث مجهول يُعرف باسم 'bikini' أصدر exploitarium، وهو مستودع GitHub يحتوي على أبحاث إثبات المفهوم عبر أكثر من 15 هدف ثغرة متميز (أكثر من 109 ملف متتبع عبر أكثر من 15 مجلد). يتم تحديث المستودع بنشاط — يتم إضافة إدخالات جديدة مع استمرار الباحث في نشر العمل.

توضيح النطاق: يحتوي المستودع على 15 هدف بحث ثغرة متميز. تعكس عدد الملفات لكل مجلد الملفات الفردية (نصوص برمجية، حُمولات، أدوات مساعدة، ملفات README) — وليست CVEs متميزة. يلاحظ ملف README للباحث أن هذه الثغرات لم يتم الإبلاغ عنها وقت النشر ويدعو صراحة الآخرين لتقديم CVEs.

أهم النتائج من الناحية التقنية — كتابة heap قبل المصادقة في libssh2 وتجاوز مصادقة Docker الافتراضية في Gitea — تم التحقق منها بشكل مستقل على أنها عالية المخاطر مع ملاحظة استغلال نشط. تم رفض بعض الإدخالات من قبل المجتمع باعتبارها ضوضاء منخفضة التأثير.

تفصيل مجلدات Exploitarium

هيكل المستودع

Exploitarium-Detections/
├── 7zip/                 # MOTW bypass x3 (rules 02, 27, 28)
├── anydesk/              # COM hijack DLL, named pipe, PE fingerprint recon (rules 06, 17, 36)
├── c-ares/               # TCP UAF NDR sequence, linkage recon, DNS failure spike (rules 07, 08, 41)
├── curl/                 # SMTP CRLF injection attempt + PoC artifact (rules 45, 46)
├── docker/               # Privileged container host mount shell spawn (rule 38)
├── exploitarium-generic/ # calc.exe PoC generic, multi-CVE sweep (rules 22, 44)
├── ffmpeg/               # (reserved)
├── firefox/              # SmartWindow silent enablement (rule 09)
├── flowise/              # Unauthorized API access (rule 37)
├── ghidra/               # Headless analyzer suspicious script execution (rule 40)
├── imagemagick/          # Policy bypass delegate execution (rule 39)
├── libarchive/           # ZIP debuginfod size boundary bypass x2 (rules 51, 52)
├── libssh2/              # Pre-auth RCE, DoS x2, scaffold x2, heap corruption, recon (rules 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/         # Electron IPC preload, Modrinth gameDirectory abuse (rules 15, 16)
├── mybb/                 # ACP privilege escalation x2 (rules 05, 21)
├── nextjs/               # unstable_cache PoC execution, cache object collision (rules 49, 50)
├── nmap/                 # IPv6 ExtLen wrap PoC (rule 18)
├── nodebb/               # ActivityPub UID spoof x2 (rules 47, 48)
├── openvpn/              # PAC injection, echo script ACE, DHCP option injection (rules 14, 42, CVE-2026-45115)
├── php/                  # SOAP RCE, ASLR bypass (rules 10, 11)
├── pillow/               # ImageCms OOB write PoC execution + crash detection (rules 53, 54, 55)
├── rustdesk/             # Session bypass x4 (rules 03, 19, 23, 33, 34)
├── splunk/               # splunkd child process, reverse shell, REST API, PoC artifact (rules 20, 31, 32, 43)
└── vlc/                  # VP9 crash/child spawn, WER report, VP9 decode child (rules 04, 29, 30)

التغطية حسب المنتج

تغطية CVE

تغطية المنصة

القواعد ذات الأولوية — العمل أولاً

1. libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2، استغلال نشط
2. libssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — استطلاع ما قبل الاستغلال
3. libssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — ثنائيات harness على القرص
4. exploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — أوسع مسح
5. splunk/cve-2026-20253-splunkd-unexpected-child-process.kql — هدف مؤسسي عالي القيمة
6. rustdesk/rustdesk-session-permission-bypass-comprehensive.kql — تغطية كاملة متعددة الفروع
7. curl/curl-smtp-expn-crlf-injection-attempt.kql — ذات صلة بأي SaaS يرسل بريدًا إلكترونيًا يستخدم libcurl

فهرس القاعدة

الاستخدام

يحتوي كل ملف .kql على نص القاعدة الكامل بالإضافة إلى رأس بيانات وصفية (الخطورة، المنصات، معرفات MITRE، CVEs، رابط detections.ai). قم باستيراده مباشرةً إلى Sentinel كقاعدة استعلام مجدولة أو إلى Defender XDR ككشف مخصص.

القواعد متاحة أيضًا في Splunk SPL و Elastic و Chronicle وغيرها من الحزم عبر ميزة ترجمة اللغة الخاصة بـ detections.ai.

المؤلف

Ethan Andrews مساهم موثوق — detections.ai