استغلال ثغرة تجاوز المسار في Splunk (CVE-2024-36991)

الوصف

هذا سكريبت إثبات المفهوم (PoC) لاستغلال CVE-2024-36991، وهي ثغرة تجاوز المسار تؤثر على Splunk Enterprise على أنظمة Windows في الإصدارات التالية:

• 9.2.2
• 9.1.5
• 9.0.10

تسمح الثغرة للمهاجمين غير المصادق عليهم بالوصول إلى الملفات الحساسة على الخادم من خلال استغلال خلل في تجاوز المسار في واجهة الويب الخاصة بـ Splunk.

الخطورة: حرجة
التأثير: قراءة ملفات عشوائية

⚠️ الإصدارات المعرضة للخطر

• Splunk Enterprise < 9.2.2
• Splunk Enterprise < 9.1.5
• Splunk Enterprise < 9.0.10

💡 الاستخدام

لتشغيل أداة الاستغلال، استخدم الأوامر التالية:

# Using Python3
python3 exploit.py -u http://victim.com -s 1

# Running directly
./exploit.py -u http://victim.com -s 1

المعلمات:

• -u, --url: عنوان URL الأساسي لخادم Splunk المستهدف.
• -s, --section: اختر القسم للتعداد (1-5):

الأقسام:

1. بيانات الاعتماد والأسرار:

   • /etc/passwd
   • /etc/auth/splunk.secret
   • /etc/auth/server.pem
   • /var/run/splunk/session
   • /etc/system/local/authentication.conf

2. ملفات التكوين:

   • /etc/system/local/web.conf
   • /etc/system/local/inputs.conf

3. السجلات والتاريخ:

   • /var/log/splunk/splunkd.log
   • /var/log/splunk/audit.log
   • /var/log/splunk/metrics.log
   • /var/log/splunk/searches.log
   • /var/run/splunk/dispatch

🛡️ التخفيف

لحماية خادم Splunk الخاص بك:

• قم بالترقية إلى Splunk Enterprise 9.2.2 أو 9.1.5 أو 9.0.10 أو أحدث.
• طبق ضوابط الوصول المناسبة وقواعد جدار الحماية.

⚠️ إخلاء مسؤولية

أداة الاستغلال هذه مخصصة للأغراض التعليمية واختبار الاختراق المصرح به فقط. الاستخدام غير المصرح به غير قانوني وغير أخلاقي. لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام.