Puntuación CVSS: 7.5 (Alta Gravedad)

Explotabilidad: Remota, No Autenticada

Impacto: Lectura Arbitraria de Archivos

Resumen

Este binario automatiza la explotación de CVE-2024-36991 mediante el envío de solicitudes curl diseñadas a una instancia vulnerable de Splunk. Recupera archivos sensibles y los guarda localmente para su posterior análisis. El script es modular, permitiendo a los usuarios apuntar a categorías de archivos específicas (por ejemplo, credenciales, registros, configuraciones).

Características Principales:

• Recuperación de Archivos Específicos: Obtiene archivos como passwd, splunk.secret, logs y archivos de configuración.
• Diseño Modular: Organizado en secciones para apuntar fácilmente (por ejemplo, credenciales, logs, archivos del sistema).
• Guardado de Salida: Guarda automáticamente los archivos recuperados en disco para análisis sin conexión.

Instrucciones de Uso Script de Python Requisitos previos:

• Python 3.x instalado.
• curl instalado en el sistema.
• Una instancia vulnerable de Splunk Enterprise (Windows).

Ejecución del Exploit:

./CVE-2024-36991 -u <TARGET_URL> -s <SECTION_NUMBER> <TARGET_URL>: URL base de la instancia vulnerable de Splunk (por ejemplo, https://splunk.example.com). <SECTION_NUMBER>: Elija una sección (1-5) para apuntar a tipos de archivos específicos: 1: Credenciales y Secretos (por ejemplo, passwd, splunk.secret). 2: Archivos de Configuración (por ejemplo, web.conf, inputs.conf). 3: Registros e Historial (por ejemplo, splunkd.log, audit.log). 4: Archivos del Sistema y de Servicios (por ejemplo, splunk.exe, server.conf). 5: Aplicaciones y Scripts Personalizados (por ejemplo, binarios de Splunk TA).

Ejemplo:

./CVE-2024-36991 -u https://vulnerable-splunk.com -s 1

Salida:

• El script imprime en la consola el contenido de los archivos recuperados.
• Los archivos se guardan localmente con sus nombres originales (por ejemplo, passwd, splunk.secret).

Exploit PoC Binario

Se proporciona un binario precompilado (CVE-2024-36991) para Linux (ejecutable ELF de 64 bits LSB).

Uso:

Asegúrese de que el binario tenga permisos de ejecución:

chmod +x CVE-2024-36991

Ejecute el binario:

./CVE-2024-36991 -u <TARGET_URL> -s <SECTION_NUMBER> <TARGET_URL>: URL base de la instancia vulnerable de Splunk. <SECTION_NUMBER>: Sección a la que apuntar (1-5, como se indicó anteriormente).

Ejemplo:

./CVE-2024-36991 -u https://vulnerable-splunk.com -s 1

Mitigación

• Actualice Splunk Enterprise a las versiones parcheadas (9.2.2, 9.1.5 o 9.0.10).
• Deshabilite Splunk Web si no es necesario.

Descargo de Responsabilidad

Esta herramienta es solo para fines educativos y de prueba autorizados. El uso no autorizado contra sistemas sin permiso explícito es ilegal. Los desarrolladores no asumen ninguna responsabilidad por el mal uso.