ethan-andrews/exploitarium-detectionsKQL डिटेक्शन नियम Microsoft Sentinel और Defender XDR के लिए, bikini/exploitarium अनाम डिस्क्लोज़र को कवर करते हैं — यह 15+ विशिष्ट भेद्यता लक्ष्यों का एक व्यक्तिगत शोध संग्रह है, जो 109+ ट्रैक की गई फ़ाइलों में फैला हुआ है, और 23 जून, 2026 को विक्रेता सूचना के बिना जारी किया गया।
Microsoft Sentinel और Defender XDR के लिए KQL डिटेक्शन नियम, जो bikini/exploitarium गुमनाम प्रकटीकरण को कवर करते हैं — एक व्यक्तिगत शोध संग्रह जिसमें 15+ विशिष्ट भेद्यता लक्ष्य शामिल हैं, जो 109+ ट्रैक की गई फ़ाइलों में फैले हुए हैं, और 23 जून, 2026 को विक्रेता सूचना के बिना जारी किए गए।
54 नियम | 23 उत्पाद फ़ोल्डर | KQL | लेखक: Ethan Andrews (@eandrews)
अंतिम अद्यतन: 7/1/2026
Intel रिपोर्ट: https://systemtwosecurity.com/share/inspiration/VNJMKFVM
'bikini' नामक एक गुमनाम शोधकर्ता ने exploitarium जारी किया, जो एक GitHub रिपॉजिटरी है जिसमें 15+ विशिष्ट भेद्यता लक्ष्यों (15+ फ़ोल्डरों में 109+ ट्रैक की गई फ़ाइलें) पर प्रूफ-ऑफ-कॉन्सेप्ट शोध शामिल है। रिपॉजिटरी सक्रिय रूप से अपडेट की जाती है — शोधकर्ता द्वारा काम प्रकाशित करना जारी रखने पर नई प्रविष्टियाँ जोड़ी जा रही हैं।
दायरा स्पष्टीकरण: रिपॉजिटरी में 15 विशिष्ट भेद्यता शोध लक्ष्य हैं। प्रति फ़ोल्डर फ़ाइल गणना व्यक्तिगत फ़ाइलों (स्क्रिप्ट, पेलोड, सहायक, READMEs) को दर्शाती है — अलग-अलग CVEs को नहीं। शोधकर्ता के README में कहा गया है कि ये पोस्ट करने के समय रिपोर्ट नहीं किए गए थे और स्पष्ट रूप से दूसरों को CVE दाखिल करने के लिए आमंत्रित करता है।
सबसे तकनीकी रूप से महत्वपूर्ण निष्कर्ष — libssh2 प्री-ऑथ हीप राइट और Gitea डिफ़ॉल्ट Docker ऑथ बायपास — को स्वतंत्र रूप से उच्च-जोखिम के रूप में सत्यापित किया गया है जिनमें सक्रिय शोषण देखा गया है। कुछ प्रविष्टियों को समुदाय द्वारा कम-प्रभाव वाले शोर के रूप में खारिज कर दिया गया है।
| फ़ोल्डर | ट्रैक की गई फ़ाइलें |
|---|---|
| objdump-dlx-calc-poc | 41 |
| ghidra-12.1.2-rce-ace-calc-poc | 9 |
| openvpn-connect-echo-script-ace-poc | 8 |
| lunar-modrinth-chain-poc | 6 |
| docker-cp-copyout-destination-escape | 5 |
| imagemagick-gs-delegate-hijack-poc | 5 |
| mybb-limited-acp-to-admin | 5 |
| nmap-ipv6-extlen-wrap-poc | 4 |
| anydesk-printer-com-impersonation-poc | 4 |
| gitea-act-runner-container-options-poc | 4 |
| 7zip-rar5-motw-chain-poc | 3 |
| flowise-mcp-env-case-bypass-poc | 3 |
| floci-apigateway-vtl-rce-poc | 3 |
| libssh2-cve-2026-55200-poc | 3 |
| vlc-vp9-reschange-crash-poc | 3 |
| कुल | 109 |
Exploitarium-Detections/
├── 7zip/ # MOTW बायपास x3 (नियम 02, 27, 28)
├── anydesk/ # COM हाईजैक DLL, नेम्ड पाइप, PE फिंगरप्रिंट रिकॉन (नियम 06, 17, 36)
├── c-ares/ # TCP UAF NDR सीक्वेंस, लिंकेज रिकॉन, DNS विफलता स्पाइक (नियम 07, 08, 41)
├── curl/ # SMTP CRLF इंजेक्शन प्रयास + PoC आर्टिफैक्ट (नियम 45, 46)
├── docker/ # विशेषाधिकार प्राप्त कंटेनर होस्ट माउंट शेल स्पॉन (नियम 38)
├── exploitarium-generic/ # calc.exe PoC सामान्य, मल्टी-CVE स्वीप (नियम 22, 44)
├── ffmpeg/ # (आरक्षित)
├── firefox/ # SmartWindow साइलेंट सक्षमीकरण (नियम 09)
├── flowise/ # अनधिकृत API पहुंच (नियम 37)
├── ghidra/ # हेडलेस एनालाइज़र संदिग्ध स्क्रिप्ट निष्पादन (नियम 40)
├── imagemagick/ # पॉलिसी बायपास डेलिगेट निष्पादन (नियम 39)
├── libarchive/ # ZIP debuginfod आकार सीमा बायपास x2 (नियम 51, 52)
├── libssh2/ # प्री-ऑथ RCE, DoS x2, स्कैफोल्ड x2, हीप भ्रष्टाचार, रिकॉन (नियम 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/ # इलेक्ट्रॉन IPC प्रीलोड, Modrinth gameDirectory दुरुपयोग (नियम 15, 16)
├── mybb/ # ACP विशेषाधिकार वृद्धि x2 (नियम 05, 21)
├── nextjs/ # unstable_cache PoC निष्पादन, कैश ऑब्जेक्ट कोलिजन (नियम 49, 50)
├── nmap/ # IPv6 ExtLen रैप PoC (नियम 18)
├── nodebb/ # ActivityPub UID स्पूफ x2 (नियम 47, 48)
├── openvpn/ # PAC इंजेक्शन, इको स्क्रिप्ट ACE, DHCP विकल्प इंजेक्शन (नियम 14, 42, CVE-2026-45115)
├── php/ # SOAP RCE, ASLR बायपास (नियम 10, 11)
├── pillow/ # ImageCms OOB राइट PoC निष्पादन + क्रैश डिटेक्शन (नियम 53, 54, 55)
├── rustdesk/ # सत्र बायपास x4 (नियम 03, 19, 23, 33, 34)
├── splunk/ # splunkd चाइल्ड प्रोसेस, रिवर्स शेल, REST API, PoC आर्टिफैक्ट (नियम 20, 31, 32, 43)
└── vlc/ # VP9 क्रैश/चाइल्ड स्पॉन, WER रिपोर्ट, VP9 डिकोड चाइल्ड (नियम 04, 29, 30)
| उत्पाद | नियम | CVE |
|---|---|---|
| libssh2 | 7 | CVE-2026-55200, CVE-2026-55199 |
| Splunk | 4 | CVE-2026-20253 |
| RustDesk | 4 | CVE-2026-46331 |
| 7-Zip | 3 | CVE-2026-45115 |
| VLC | 3 | CVE-2026-20896 |
| AnyDesk | 3 | — |
| OpenVPN Connect | 3 | CVE-2026-45115 |
| c-ares | 3 | — |
| curl | 2 | — |
| libarchive | 2 | — |
| MyBB | 2 | — |
| PHP | 2 | — |
| Lunar Client | 2 | — |
| Next.js | 2 | — |
| NodeBB | 2 | — |
| Pillow | 2 | — |
| Exploitarium Generic | 2 | — |
| Docker | 1 | — |
| Firefox | 1 | — |
| Flowise | 1 | — |
| Ghidra | 1 | — |
| ImageMagick | 1 | — |
| Nmap | 1 | — |
| CVE | CVSS | प्रभावित | नियम |
|---|---|---|---|
| CVE-2026-55200 | 9.2 | libssh2 ≤1.11.1 (ट्रांज़िटिव: curl, Git, PHP) | 5 |
| CVE-2026-55199 | — | libssh2 DoS कुंजी विनिमय CPU स्पिन के माध्यम से | 2 |
| CVE-2026-20253 | — | Splunk splunkd RCE | 4 |
| CVE-2026-46331 | — | RustDesk सत्र अनुमति बायपास | 4 |
| CVE-2026-45115 | — | 7-Zip MOTW बायपास + OpenVPN ACE | 4 |
| CVE-2026-20896 | — | VLC VP9 हीप भ्रष्टाचार | 3 |
| प्लेटफ़ॉर्म | नियम |
|---|---|
| Windows | 38 |
| Linux | 25 |
| macOS | 6 |
| कंटेनर/रनटाइम | 3 |
| नेटवर्क (NDR/CSL) | 1 |
| SaaS | 1 |
libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2, सक्रिय शोषणlibssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — शोषण-पूर्व रिकॉन पकड़ेंlibssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — डिस्क पर हार्नेस बाइनरीexploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — सबसे व्यापक स्वीपsplunk/cve-2026-20253-splunkd-unexpected-child-process.kql — उच्च-मूल्य वाला एंटरप्राइज़ लक्ष्यrustdesk/rustdesk-session-permission-bypass-comprehensive.kql — पूर्ण मल्टी-ब्रांच कवरेजcurl/curl-smtp-expn-crlf-injection-attempt.kql — लिबकर्ल का उपयोग करने वाले किसी भी मेल-भेजने वाले SaaS के लिए प्रासंगिक