thestingr/cve-2024-36991-tool
Dieser binäre POC automatisiert die Ausnutzung von CVE-2024-36991, indem er manipulierte curl-Anfragen an eine verwundbare Splunk-Instanz sendet. Er ruft sensible Dateien ab und speichert sie lokal zur weiteren Analyse. Das Skript ist modular aufgebaut, sodass Benutzer gezielt bestimmte Dateikategorien (z. B. Zugangsdaten, Protokolle, Konfigurationen) ansteuern können.
CVE-2024-36991 ist eine kritische Path-Traversal-Schwachstelle, die Splunk Enterprise auf Windows-Systemen betrifft (Versionen unter 9.2.2, 9.1.5 und 9.0.10). Der Fehler ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien auf dem System zu lesen, indem sie die unsachgemäße Behandlung von Laufwerksbuchstaben in Windows-Pfaden über den Endpunkt /modules/messaging/ ausnutzen. Dies kann sensible Dateien wie /etc/passwd, splunk.secret und Konfigurationsdateien offenlegen.
CVSS-Score: 7.5 (Hoher Schweregrad)
Ausnutzbarkeit: Remote, ohne Authentifizierung
Auswirkung: Beliebige Dateien lesen
Dieses Binärprogramm automatisiert die Ausnutzung von CVE-2024-36991, indem es manipulierte curl-Anfragen an eine verwundbare Splunk-Instanz sendet. Es ruft sensible Dateien ab und speichert sie lokal für weitere Analysen. Das Skript ist modular aufgebaut und ermöglicht es Benutzern, bestimmte Dateikategorien (z. B. Anmeldedaten, Protokolle, Konfigurationen) gezielt anzusteuern.
Gezielter Dateiabruf: Ruft Dateien wie passwd, splunk.secret, Protokolle und Konfigurationsdateien ab. Modulares Design: In Abschnitte gegliedert, um gezielte Angriffe zu erleichtern (z. B. Anmeldedaten, Protokolle, Systemdateien). Speichern der Ausgabe: Speichert abgerufene Dateien automatisch auf der Festplatte für die Offline-Analyse. Verwendungsanleitung Python-Skript Voraussetzungen:
Ausführen des Exploits:
./CVE-2024-36991 -u <TARGET_URL> -s <SECTION_NUMBER> <TARGET_URL>: Basis-URL der verwundbaren Splunk-Instanz (z. B. https://splunk.example.com). <SECTION_NUMBER>: Wählen Sie einen Abschnitt (1-5), um bestimmte Dateitypen anzusteuern: 1: Anmeldedaten & Geheimnisse (z. B. passwd, splunk.secret). 2: Konfigurationsdateien (z. B. web.conf, inputs.conf). 3: Protokolle & Verlauf (z. B. splunkd.log, audit.log). 4: System- & Dienstdateien (z. B. splunk.exe, server.conf). 5: Apps & benutzerdefinierte Skripte (z. B. Splunk-TA-Binärdateien).
Beispiel:
./CVE-2024-36991 -u https://vulnerable-splunk.com -s 1
Ausgabe: Das Skript gibt die abgerufenen Dateiinhalte in der Konsole aus. Die Dateien werden lokal unter ihren ursprünglichen Namen gespeichert (z. B. passwd, splunk.secret).
Ein vorkompiliertes Binärprogramm (CVE-2024-36991) wird für Linux bereitgestellt (ELF-64-Bit-LSB-Executable).
Verwendung:
Stellen Sie sicher, dass das Binärprogramm über Ausführungsrechte verfügt:
chmod +x CVE-2024-36991
Führen Sie das Binärprogramm aus:
./CVE-2024-36991 -u <TARGET_URL> -s <SECTION_NUMBER> <TARGET_URL>: Basis-URL der verwundbaren Splunk-Instanz. <SECTION_NUMBER>: Zielabschnitt (1-5, wie oben).
Beispiel:
./CVE-2024-36991 -u https://vulnerable-splunk.com -s 1
Dieses Tool dient ausschließlich Bildungs- und autorisierten Testzwecken. Die unbefugte Verwendung gegen Systeme ohne ausdrückliche Genehmigung ist illegal. Die Entwickler übernehmen keinerlei Haftung für Missbrauch.
