Cobertura de Detección KQL de Exploitarium

Reglas de detección KQL para Microsoft Sentinel y Defender XDR que cubren la divulgación anónima bikini/exploitarium — un archivo de investigación personal de más de 15 objetivos de vulnerabilidad distintos en más de 109 archivos rastreados, publicado sin notificación al proveedor el 23 de junio de 2026.

54 reglas | 23 carpetas de producto | KQL | Autor: Ethan Andrews (@eandrews)

Última actualización: 7/1/2026

Informe de inteligencia: https://systemtwosecurity.com/share/inspiration/VNJMKFVM

Antecedentes

Un investigador anónimo conocido como 'bikini' publicó exploitarium, un repositorio de GitHub que contiene investigación de prueba de concepto en más de 15 objetivos de vulnerabilidad distintos (más de 109 archivos rastreados en más de 15 carpetas). El repositorio se actualiza activamente — se añaden nuevas entradas a medida que el investigador continúa publicando trabajo.

Aclaración del alcance: El repositorio contiene 15 objetivos de investigación de vulnerabilidad distintos. Los recuentos de archivos por carpeta reflejan archivos individuales (scripts, payloads, ayudas, READMEs) — no CVEs distintos. El README del investigador señala que estos no fueron reportados en el momento de la publicación e invita explícitamente a otros a presentar CVEs.

Los hallazgos técnicamente más significativos — escritura heap pre-autenticación de libssh2 y omisión de autenticación Docker por defecto de Gitea — han sido verificados de forma independiente como de alto riesgo con explotación activa observada. Algunas entradas han sido descartadas por la comunidad como ruido de bajo impacto.

Desglose de Carpetas de Exploitarium

Estructura del Repositorio

Exploitarium-Detections/
├── 7zip/                 # MOTW bypass x3 (rules 02, 27, 28)
├── anydesk/              # COM hijack DLL, named pipe, PE fingerprint recon (rules 06, 17, 36)
├── c-ares/               # TCP UAF NDR sequence, linkage recon, DNS failure spike (rules 07, 08, 41)
├── curl/                 # SMTP CRLF injection attempt + PoC artifact (rules 45, 46)
├── docker/               # Privileged container host mount shell spawn (rule 38)
├── exploitarium-generic/ # calc.exe PoC generic, multi-CVE sweep (rules 22, 44)
├── ffmpeg/               # (reserved)
├── firefox/              # SmartWindow silent enablement (rule 09)
├── flowise/              # Unauthorized API access (rule 37)
├── ghidra/               # Headless analyzer suspicious script execution (rule 40)
├── imagemagick/          # Policy bypass delegate execution (rule 39)
├── libarchive/           # ZIP debuginfod size boundary bypass x2 (rules 51, 52)
├── libssh2/              # Pre-auth RCE, DoS x2, scaffold x2, heap corruption, recon (rules 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/         # Electron IPC preload, Modrinth gameDirectory abuse (rules 15, 16)
├── mybb/                 # ACP privilege escalation x2 (rules 05, 21)
├── nextjs/               # unstable_cache PoC execution, cache object collision (rules 49, 50)
├── nmap/                 # IPv6 ExtLen wrap PoC (rule 18)
├── nodebb/               # ActivityPub UID spoof x2 (rules 47, 48)
├── openvpn/              # PAC injection, echo script ACE, DHCP option injection (rules 14, 42, CVE-2026-45115)
├── php/                  # SOAP RCE, ASLR bypass (rules 10, 11)
├── pillow/               # ImageCms OOB write PoC execution + crash detection (rules 53, 54, 55)
├── rustdesk/             # Session bypass x4 (rules 03, 19, 23, 33, 34)
├── splunk/               # splunkd child process, reverse shell, REST API, PoC artifact (rules 20, 31, 32, 43)
└── vlc/                  # VP9 crash/child spawn, WER report, VP9 decode child (rules 04, 29, 30)

Cobertura por Producto

Cobertura de CVE

Cobertura por Plataforma

Reglas Prioritarias — Actuar Primero

1. libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2, explotación activa
2. libssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — detectar reconocimiento previo a la explotación
3. libssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — binarios de harness en disco
4. exploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — barrido más amplio
5. splunk/cve-2026-20253-splunkd-unexpected-child-process.kql — objetivo empresarial de alto valor
6. rustdesk/rustdesk-session-permission-bypass-comprehensive.kql — cobertura completa de múltiples ramas
7. curl/curl-smtp-expn-crlf-injection-attempt.kql — relevante para cualquier SaaS que envíe correos usando libcurl

Índice de Reglas

Uso

Cada archivo .kql contiene el cuerpo completo de la regla más un encabezado de metadatos (gravedad, plataformas, ID de MITRE, CVEs, enlace a detections.ai). Impórtelo directamente en Sentinel como una regla de consulta programada o en Defender XDR como una detección personalizada.

Las reglas también están disponibles en Splunk SPL, Elastic, Chronicle y otras plataformas mediante la función de traducción de idiomas de detections.ai.

Autor

Ethan Andrews Colaborador de confianza — detections.ai