Exploitarium KQL डिटेक्शन कवरेज

Microsoft Sentinel और Defender XDR के लिए KQL डिटेक्शन नियम, जो bikini/exploitarium गुमनाम प्रकटीकरण को कवर करते हैं — एक व्यक्तिगत शोध संग्रह जिसमें 15+ विशिष्ट भेद्यता लक्ष्य शामिल हैं, जो 109+ ट्रैक की गई फ़ाइलों में फैले हुए हैं, और 23 जून, 2026 को विक्रेता सूचना के बिना जारी किए गए।

54 नियम | 23 उत्पाद फ़ोल्डर | KQL | लेखक: Ethan Andrews (@eandrews)

अंतिम अद्यतन: 7/1/2026

Intel रिपोर्ट: https://systemtwosecurity.com/share/inspiration/VNJMKFVM

पृष्ठभूमि

'bikini' नामक एक गुमनाम शोधकर्ता ने exploitarium जारी किया, जो एक GitHub रिपॉजिटरी है जिसमें 15+ विशिष्ट भेद्यता लक्ष्यों (15+ फ़ोल्डरों में 109+ ट्रैक की गई फ़ाइलें) पर प्रूफ-ऑफ-कॉन्सेप्ट शोध शामिल है। रिपॉजिटरी सक्रिय रूप से अपडेट की जाती है — शोधकर्ता द्वारा काम प्रकाशित करना जारी रखने पर नई प्रविष्टियाँ जोड़ी जा रही हैं।

दायरा स्पष्टीकरण: रिपॉजिटरी में 15 विशिष्ट भेद्यता शोध लक्ष्य हैं। प्रति फ़ोल्डर फ़ाइल गणना व्यक्तिगत फ़ाइलों (स्क्रिप्ट, पेलोड, सहायक, READMEs) को दर्शाती है — अलग-अलग CVEs को नहीं। शोधकर्ता के README में कहा गया है कि ये पोस्ट करने के समय रिपोर्ट नहीं किए गए थे और स्पष्ट रूप से दूसरों को CVE दाखिल करने के लिए आमंत्रित करता है।

सबसे तकनीकी रूप से महत्वपूर्ण निष्कर्ष — libssh2 प्री-ऑथ हीप राइट और Gitea डिफ़ॉल्ट Docker ऑथ बायपास — को स्वतंत्र रूप से उच्च-जोखिम के रूप में सत्यापित किया गया है जिनमें सक्रिय शोषण देखा गया है। कुछ प्रविष्टियों को समुदाय द्वारा कम-प्रभाव वाले शोर के रूप में खारिज कर दिया गया है।

Exploitarium फ़ोल्डर ब्रेकडाउन

रिपॉजिटरी संरचना

Exploitarium-Detections/
├── 7zip/                 # MOTW बायपास x3 (नियम 02, 27, 28)
├── anydesk/              # COM हाईजैक DLL, नेम्ड पाइप, PE फिंगरप्रिंट रिकॉन (नियम 06, 17, 36)
├── c-ares/               # TCP UAF NDR सीक्वेंस, लिंकेज रिकॉन, DNS विफलता स्पाइक (नियम 07, 08, 41)
├── curl/                 # SMTP CRLF इंजेक्शन प्रयास + PoC आर्टिफैक्ट (नियम 45, 46)
├── docker/               # विशेषाधिकार प्राप्त कंटेनर होस्ट माउंट शेल स्पॉन (नियम 38)
├── exploitarium-generic/ # calc.exe PoC सामान्य, मल्टी-CVE स्वीप (नियम 22, 44)
├── ffmpeg/               # (आरक्षित)
├── firefox/              # SmartWindow साइलेंट सक्षमीकरण (नियम 09)
├── flowise/              # अनधिकृत API पहुंच (नियम 37)
├── ghidra/               # हेडलेस एनालाइज़र संदिग्ध स्क्रिप्ट निष्पादन (नियम 40)
├── imagemagick/          # पॉलिसी बायपास डेलिगेट निष्पादन (नियम 39)
├── libarchive/           # ZIP debuginfod आकार सीमा बायपास x2 (नियम 51, 52)
├── libssh2/              # प्री-ऑथ RCE, DoS x2, स्कैफोल्ड x2, हीप भ्रष्टाचार, रिकॉन (नियम 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/         # इलेक्ट्रॉन IPC प्रीलोड, Modrinth gameDirectory दुरुपयोग (नियम 15, 16)
├── mybb/                 # ACP विशेषाधिकार वृद्धि x2 (नियम 05, 21)
├── nextjs/               # unstable_cache PoC निष्पादन, कैश ऑब्जेक्ट कोलिजन (नियम 49, 50)
├── nmap/                 # IPv6 ExtLen रैप PoC (नियम 18)
├── nodebb/               # ActivityPub UID स्पूफ x2 (नियम 47, 48)
├── openvpn/              # PAC इंजेक्शन, इको स्क्रिप्ट ACE, DHCP विकल्प इंजेक्शन (नियम 14, 42, CVE-2026-45115)
├── php/                  # SOAP RCE, ASLR बायपास (नियम 10, 11)
├── pillow/               # ImageCms OOB राइट PoC निष्पादन + क्रैश डिटेक्शन (नियम 53, 54, 55)
├── rustdesk/             # सत्र बायपास x4 (नियम 03, 19, 23, 33, 34)
├── splunk/               # splunkd चाइल्ड प्रोसेस, रिवर्स शेल, REST API, PoC आर्टिफैक्ट (नियम 20, 31, 32, 43)
└── vlc/                  # VP9 क्रैश/चाइल्ड स्पॉन, WER रिपोर्ट, VP9 डिकोड चाइल्ड (नियम 04, 29, 30)

उत्पाद द्वारा कवरेज

CVE कवरेज

प्लेटफ़ॉर्म कवरेज

प्राथमिकता नियम — पहले कार्रवाई करें

1. libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2, सक्रिय शोषण
2. libssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — शोषण-पूर्व रिकॉन पकड़ें
3. libssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — डिस्क पर हार्नेस बाइनरी
4. exploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — सबसे व्यापक स्वीप
5. splunk/cve-2026-20253-splunkd-unexpected-child-process.kql — उच्च-मूल्य वाला एंटरप्राइज़ लक्ष्य
6. rustdesk/rustdesk-session-permission-bypass-comprehensive.kql — पूर्ण मल्टी-ब्रांच कवरेज
7. curl/curl-smtp-expn-crlf-injection-attempt.kql — लिबकर्ल का उपयोग करने वाले किसी भी मेल-भेजने वाले SaaS के लिए प्रासंगिक

नियम सूचकांक

उपयोग

प्रत्येक .kql फ़ाइल में पूर्ण नियम निकाय के साथ एक मेटाडेटा हेडर (गंभीरता, प्लेटफ़ॉर्म, MITRE ID, CVE, detections.ai लिंक) होता है। Sentinel में शेड्यूल क्वेरी नियम के रूप में या Defender XDR में कस्टम डिटेक्शन के रूप में सीधे आयात करें।

ये नियम detections.ai भाषा अनुवाद सुविधा के माध्यम से Splunk SPL, Elastic, Chronicle और अन्य स्टैक में भी उपलब्ध हैं।

लेखक

Ethan Andrews Trusted Contributor — detections.ai