Splunk Pfadüberschreitungs-Exploit (CVE-2024-36991)

Beschreibung

Dies ist ein Proof-of-Concept (PoC) Exploit-Skript für CVE-2024-36991, eine Schwachstelle zur Pfadüberschreitung, die Splunk Enterprise unter Windows in den folgenden Versionen betrifft:

• 9.2.2
• 9.1.5
• 9.0.10

Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, auf sensitive Dateien auf dem Server zuzugreifen, indem sie einen Pfadüberschreitungsfehler in der Splunk-Weboberfläche ausnutzen.

Schweregrad: Kritisch
Auswirkung: Beliebiger Dateizugriff

⚠️ Anfällige Versionen

• Splunk Enterprise < 9.2.2
• Splunk Enterprise < 9.1.5
• Splunk Enterprise < 9.0.10

💡 Verwendung

Um den Exploit auszuführen, verwenden Sie die folgenden Befehle:

# Using Python3
python3 exploit.py -u http://victim.com -s 1

# Running directly
./exploit.py -u http://victim.com -s 1

Parameter:

• -u, --url: Die Basis-URL des Ziel-Splunk-Servers.
• -s, --section: Wählen Sie den zu enumerierenden Abschnitt (1-5):

Abschnitte:

1. Anmeldeinformationen & Geheimnisse:

   • /etc/passwd
   • /etc/auth/splunk.secret
   • /etc/auth/server.pem
   • /var/run/splunk/session
   • /etc/system/local/authentication.conf

2. Konfigurationsdateien:

   • /etc/system/local/web.conf
   • /etc/system/local/inputs.conf

3. Protokolle & Verlauf:

   • /var/log/splunk/splunkd.log
   • /var/log/splunk/audit.log
   • /var/log/splunk/metrics.log
   • /var/log/splunk/searches.log

🛡️ Gegenmaßnahmen

Um Ihren Splunk-Server zu schützen:

• Aktualisieren Sie auf Splunk Enterprise 9.2.2, 9.1.5 oder 9.0.10 oder höher.
• Wenden Sie geeignete Zugriffskontrollen und Firewall-Regeln an.

⚠️ Haftungsausschluss

Dieser Exploit dient ausschließlich zu Bildungs- und autorisierten Penetrationstestzwecken. Unautorisierte Nutzung ist illegal und unethisch. Der Autor übernimmt keine Verantwortung für Missbrauch.