ethan-andrews/exploitarium-detections
Regole di rilevamento KQL per Microsoft Sentinel e Defender XDR che coprono la divulgazione anonima bikini/exploitarium — un archivio di ricerca personale di oltre 15+ target di vulnerabilità distinti attraverso 109+ file tracciati, rilasciato senza notifica al fornitore il 23 giugno 2026.
Regole di rilevamento KQL per Microsoft Sentinel e Defender XDR che coprono la divulgazione anonima bikini/exploitarium — un archivio personale di ricerca con oltre 15 diversi target di vulnerabilità su oltre 109 file tracciati, rilasciato senza notifica al venditore il 23 giugno 2026.
54 regole | 23 cartelle di prodotto | KQL | Autore: Ethan Andrews (@eandrews)
Ultimo aggiornamento: 7/1/2026
Report Intel: https://systemtwosecurity.com/share/inspiration/VNJMKFVM
Un ricercatore anonimo noto come 'bikini' ha rilasciato exploitarium, un repository GitHub contenente ricerca proof-of-concept su oltre 15 diversi target di vulnerabilità (oltre 109 file tracciati in oltre 15 cartelle). Il repository viene aggiornato attivamente — vengono aggiunte nuove voci mentre il ricercatore continua a pubblicare il suo lavoro.
Chiarimento sull'ambito: Il repository contiene 15 diversi target di ricerca sulle vulnerabilità. I conteggi dei file per cartella riflettono i singoli file (script, payload, helper, README) — non CVE distinti. Il README del ricercatore nota che non erano stati segnalati al momento della pubblicazione e invita esplicitamente altri a presentare CVE.
I risultati tecnicamente più significativi — scrittura heap pre-autenticazione di libssh2 e bypass dell'autenticazione Docker predefinita di Gitea — sono stati verificati indipendentemente come ad alto rischio con sfruttamento attivo osservato. Alcune voci sono state respinte dalla comunità come rumore a basso impatto.
| Cartella | File tracciati |
|---|---|
| objdump-dlx-calc-poc | 41 |
| ghidra-12.1.2-rce-ace-calc-poc | 9 |
| openvpn-connect-echo-script-ace-poc | 8 |
| lunar-modrinth-chain-poc | 6 |
| docker-cp-copyout-destination-escape | 5 |
| imagemagick-gs-delegate-hijack-poc | 5 |
| mybb-limited-acp-to-admin | 5 |
| nmap-ipv6-extlen-wrap-poc | 4 |
| anydesk-printer-com-impersonation-poc | 4 |
| gitea-act-runner-container-options-poc | 4 |
| 7zip-rar5-motw-chain-poc | 3 |
| flowise-mcp-env-case-bypass-poc | 3 |
| floci-apigateway-vtl-rce-poc | 3 |
| libssh2-cve-2026-55200-poc | 3 |
| vlc-vp9-reschange-crash-poc | 3 |
| Totale | 109 |
Exploitarium-Detections/
├── 7zip/ # MOTW bypass x3 (rules 02, 27, 28)
├── anydesk/ # COM hijack DLL, named pipe, PE fingerprint recon (rules 06, 17, 36)
├── c-ares/ # TCP UAF NDR sequence, linkage recon, DNS failure spike (rules 07, 08, 41)
├── curl/ # SMTP CRLF injection attempt + PoC artifact (rules 45, 46)
├── docker/ # Privileged container host mount shell spawn (rule 38)
├── exploitarium-generic/ # calc.exe PoC generic, multi-CVE sweep (rules 22, 44)
├── ffmpeg/ # (reserved)
├── firefox/ # SmartWindow silent enablement (rule 09)
├── flowise/ # Unauthorized API access (rule 37)
├── ghidra/ # Headless analyzer suspicious script execution (rule 40)
├── imagemagick/ # Policy bypass delegate execution (rule 39)
├── libarchive/ # ZIP debuginfod size boundary bypass x2 (rules 51, 52)
├── libssh2/ # Pre-auth RCE, DoS x2, scaffold x2, heap corruption, recon (rules 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/ # Electron IPC preload, Modrinth gameDirectory abuse (rules 15, 16)
├── mybb/ # ACP privilege escalation x2 (rules 05, 21)
├── nextjs/ # unstable_cache PoC execution, cache object collision (rules 49, 50)
├── nmap/ # IPv6 ExtLen wrap PoC (rule 18)
├── nodebb/ # ActivityPub UID spoof x2 (rules 47, 48)
├── openvpn/ # PAC injection, echo script ACE, DHCP option injection (rules 14, 42, CVE-2026-45115)
├── php/ # SOAP RCE, ASLR bypass (rules 10, 11)
├── pillow/ # ImageCms OOB write PoC execution + crash detection (rules 53, 54, 55)
├── rustdesk/ # Session bypass x4 (rules 03, 19, 23, 33, 34)
├── splunk/ # splunkd child process, reverse shell, REST API, PoC artifact (rules 20, 31, 32, 43)
└── vlc/ # VP9 crash/child spawn, WER report, VP9 decode child (rules 04, 29, 30)
| Prodotto | Regole | CVE |
|---|---|---|
| libssh2 | 7 | CVE-2026-55200, CVE-2026-55199 |
| Splunk | 4 | CVE-2026-20253 |
| RustDesk | 4 | CVE-2026-46331 |
| 7-Zip | 3 | CVE-2026-45115 |
| VLC | 3 | CVE-2026-20896 |
| AnyDesk | 3 | — |
| OpenVPN Connect | 3 | CVE-2026-45115 |
| c-ares | 3 | — |
| curl | 2 | — |
| libarchive | 2 | — |
| MyBB | 2 | — |
| PHP | 2 | — |
| Lunar Client | 2 | — |
| Next.js | 2 | — |
| NodeBB | 2 | — |
| Pillow | 2 | — |
| Exploitarium Generic | 2 | — |
| Docker | 1 | — |
| Firefox | 1 | — |
| Flowise | 1 | — |
| Ghidra | 1 | — |
| ImageMagick | 1 | — |
| Nmap | 1 | — |
| CVE | CVSS | Interessati | Regole |
|---|---|---|---|
| CVE-2026-55200 | 9.2 | libssh2 ≤1.11.1 (transitivo: curl, Git, PHP) | 5 |
| CVE-2026-55199 | — | libssh2 DoS tramite spin CPU nello scambio di chiavi | 2 |
| CVE-2026-20253 | — | Splunk splunkd RCE | 4 |
| CVE-2026-46331 | — | Bypass permessi sessione RustDesk | 4 |
| CVE-2026-45115 | — | Bypass MOTW 7-Zip + ACE OpenVPN | 4 |
| CVE-2026-20896 | — | Corruzione heap VP9 VLC | 3 |
| Piattaforma | Regole |
|---|---|
| Windows | 38 |
| Linux | 25 |
| macOS | 6 |
| Container/Runtime | 3 |
| Network (NDR/CSL) | 1 |
| SaaS | 1 |
libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2, sfruttamento attivolibssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — intercettare la ricognizione pre-sfruttamentolibssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — binari di harness su discoexploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — scansione più ampiasplunk/cve-2026-20253-splunkd-unexpected-child-process.kql — target enterprise di alto valorerustdesk/rustdesk-session-permission-bypass-comprehensive.kql — copertura completa multi-ramocurl/curl-smtp-expn-crlf-injection-attempt.kql — rilevante per qualsiasi SaaS che invia email usando libcurl