ethan-andrews/exploitarium-detections
KQL-Erkennungsregeln für Microsoft Sentinel und Defender XDR, die die bikini/exploitarium anonyme Offenlegung abdecken — ein persönliches Forschungsarchiv von über 15 verschiedenen Schwachstellenzielen in über 109+ nachverfolgten Dateien, veröffentlicht ohne Benachrichtigung der Anbieter am 23. Juni 2026.
KQL-Erkennungsregeln für Microsoft Sentinel und Defender XDR, die die bikini/exploitarium-Veröffentlichung abdecken – ein persönliches Forschungsarchiv mit über 15 verschiedenen Schwachstellenzielen in über 109 verfolgten Dateien, veröffentlicht ohne Benachrichtigung der Hersteller am 23. Juni 2026.
54 Regeln | 23 Produktordner | KQL | Autor: Ethan Andrews (@eandrews)
Zuletzt aktualisiert: 1. Juli 2026
Intel-Bericht: https://systemtwosecurity.com/share/inspiration/VNJMKFVM
Ein anonymer Forscher namens 'bikini' hat exploitarium veröffentlicht, ein GitHub-Repository mit Proof-of-Concept-Forschung zu über 15 verschiedenen Schwachstellenzielen (109+ verfolgte Dateien in 15+ Ordnern). Das Repository wird aktiv aktualisiert – neue Einträge werden hinzugefügt, sobald der Forscher weiterhin Arbeiten veröffentlicht.
Klarstellung zum Umfang: Das Repository enthält 15 verschiedene Schwachstellenforschungsziele. Die Dateianzahlen pro Ordner spiegeln einzelne Dateien wider (Skripte, Payloads, Hilfsprogramme, READMEs) – nicht einzelne CVEs. Der Forscher stellt im README fest, dass diese zum Zeitpunkt der Veröffentlichung nicht gemeldet waren, und lädt ausdrücklich andere ein, CVEs einzureichen.
Die technisch bedeutsamsten Erkenntnisse – ein libssh2-Heap-Write vor der Authentifizierung und eine Gitea-Standard-Docker-Authentifizierungsumgehung – wurden unabhängig als hochriskant bestätigt, wobei aktive Ausnutzung beobachtet wurde. Einige Einträge wurden von der Community als einkommensschwaches Rauschen abgetan.
| Ordner | Verfolgte Dateien |
|---|---|
| objdump-dlx-calc-poc | 41 |
| ghidra-12.1.2-rce-ace-calc-poc | 9 |
| openvpn-connect-echo-script-ace-poc | 8 |
| lunar-modrinth-chain-poc | 6 |
| docker-cp-copyout-destination-escape | 5 |
| imagemagick-gs-delegate-hijack-poc | 5 |
| mybb-limited-acp-to-admin | 5 |
| nmap-ipv6-extlen-wrap-poc | 4 |
| anydesk-printer-com-impersonation-poc | 4 |
| gitea-act-runner-container-options-poc | 4 |
| 7zip-rar5-motw-chain-poc | 3 |
| flowise-mcp-env-case-bypass-poc | 3 |
| floci-apigateway-vtl-rce-poc | 3 |
| libssh2-cve-2026-55200-poc | 3 |
| vlc-vp9-reschange-crash-poc | 3 |
| Gesamt | 109 |
Exploitarium-Detections/
├── 7zip/ # MOTW-Bypass x3 (Regeln 02, 27, 28)
├── anydesk/ # COM-Hijack-DLL, Named Pipe, PE-Fingerabdruck-Recon (Regeln 06, 17, 36)
├── c-ares/ # TCP-UAF-NDR-Sequenz, Linkage-Recon, DNS-Ausfallspitze (Regeln 07, 08, 41)
├── curl/ # SMTP-CRLF-Injektionsversuch + PoC-Artefakt (Regeln 45, 46)
├── docker/ # Privilegierter Container-Host-Mount-Shell-Spawn (Regel 38)
├── exploitarium-generic/ # calc.exe-PoC-generisch, Multi-CVE-Scan (Regeln 22, 44)
├── ffmpeg/ # (reserviert)
├── firefox/ # SmartWindow-stilles Aktivieren (Regel 09)
├── flowise/ # Unautorisierter API-Zugriff (Regel 37)
├── ghidra/ # Headless-Analyzer, verdächtige Skriptausführung (Regel 40)
├── imagemagick/ # Policy-Bypass-Delegatenausführung (Regel 39)
├── libarchive/ # ZIP-debuginfod-Größen-Grenzumgehung x2 (Regeln 51, 52)
├── libssh2/ # Pre-Auth-RCE, DoS x2, Scaffold x2, Heap-Korruption, Recon (Regeln 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/ # Electron-IPC-Preload, Modrinth-gameDirectory-Missbrauch (Regeln 15, 16)
├── mybb/ # ACP-Privilegieneskalation x2 (Regeln 05, 21)
├── nextjs/ # unstable_cache PoC-Ausführung, Cache-Objekt-Kollision (Regeln 49, 50)
├── nmap/ # IPv6-ExtLen-Wrap-PoC (Regel 18)
├── nodebb/ # ActivityPub-UID-Spoof x2 (Regeln 47, 48)
├── openvpn/ # PAC-Injektion, Echo-Script-ACE, DHCP-Options-Injektion (Regeln 14, 42, CVE-2026-45115)
├── php/ # SOAP-RCE, ASLR-Bypass (Regeln 10, 11)
├── pillow/ # ImageCms-OOB-Write-PoC-Ausführung + Absturzerkennung (Regeln 53, 54, 55)
├── rustdesk/ # Sitzungsumgehung x4 (Regeln 03, 19, 23, 33, 34)
├── splunk/ # splunkd-Kindprozess, Reverse-Shell, REST-API, PoC-Artefakt (Regeln 20, 31, 32, 43)
└── vlc/ # VP9-Absturz/Kind-Spawn, WER-Bericht, VP9-Decode-Kind (Regeln 04, 29, 30)
| Produkt | Regeln | CVEs |
|---|---|---|
| libssh2 | 7 | CVE-2026-55200, CVE-2026-55199 |
| Splunk | 4 | CVE-2026-20253 |
| RustDesk | 4 | CVE-2026-46331 |
| 7-Zip | 3 | CVE-2026-45115 |
| VLC | 3 | CVE-2026-20896 |
| AnyDesk | 3 | — |
| OpenVPN Connect | 3 | CVE-2026-45115 |
| c-ares | 3 | — |
| curl | 2 | — |
| libarchive | 2 | — |
| MyBB | 2 | — |
| PHP | 2 | — |
| Lunar Client | 2 | — |
| Next.js | 2 | — |
| NodeBB | 2 | — |
| Pillow | 2 | — |
| Exploitarium Generic | 2 | — |
| Docker | 1 | — |
| Firefox | 1 | — |
| Flowise | 1 | — |
| Ghidra | 1 | — |
| ImageMagick | 1 | — |
| Nmap | 1 | — |
| CVE | CVSS | Betroffen | Regeln |
|---|---|---|---|
| CVE-2026-55200 | 9.2 | libssh2 ≤1.1.1 (transitiv: curl, Git, PHP) | 5 |
| CVE-2026-55199 | — | libssh2-DoS durch CPU-Spin bei Schlüsselaustausch | 2 |
| CVE-2026-20253 | — | Splunk splunkd RCE | 4 |
| CVE-2026-46331 | — | RustDesk-Sitzungsberechtigungsumgehung | 4 |
| CVE-2026-45115 | — | 7-Zip MOTW-Bypass + OpenVPN ACE | 4 |
| CVE-2026-20896 | — | VLC VP9-Heap-Korruption | 3 |
| Plattform | Regeln |
|---|---|
| Windows | 38 |
| Linux | 25 |
| macOS | 6 |
| Container/Laufzeit | 3 |
| Netzwerk (NDR/CSL) | 1 |
| SaaS | 1 |
libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2, aktive Ausnutzunglibssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — Erkennung von Recon vor der Ausnutzunglibssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — Harness-Binärdateien auf der Festplatteexploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — breitester Scansplunk/cve-2026-20253-splunkd-unexpected-child-process.kql — hochwertiges Unternehmenszielrustdesk/rustdesk-session-permission-bypass-comprehensive.kql — vollständige Multi-Branch-Abdeckungcurl/curl-smtp-expn-crlf-injection-attempt.kql — relevant für jedes E-Mail-sendende SaaS unter Verwendung von libcurl