Exploit di Path Traversal in Splunk (CVE-2024-36991)

Descrizione

Questo è uno script di exploit Proof-of-Concept (PoC) per CVE-2024-36991, una vulnerabilità path traversal che colpisce Splunk Enterprise su versioni Windows precedenti a:

• 9.2.2
• 9.1.5
• 9.0.10

La vulnerabilità consente ad attaccanti non autenticati di accedere a file sensibili sul server sfruttando una falla di path traversal nell'interfaccia web di Splunk.

Gravità: Critica
Impatto: Lettura arbitraria di file

⚠️ Versioni Vulnerabili

• Splunk Enterprise < 9.2.2
• Splunk Enterprise < 9.1.5
• Splunk Enterprise < 9.0.10

💡 Utilizzo

Per eseguire l'exploit, usa i seguenti comandi:

# Using Python3
python3 exploit.py -u http://victim.com -s 1

# Running directly
./exploit.py -u http://victim.com -s 1

Parametri:

• -u, --url: L'URL base del server Splunk target.
• -s, --section: Seleziona la sezione da enumerare (1-5):

Sezioni:

1. Credenziali e Segreti:

   • /etc/passwd
   • /etc/auth/splunk.secret
   • /etc/auth/server.pem
   • /var/run/splunk/session
   • /etc/system/local/authentication.conf

2. File di Configurazione:

   • /etc/system/local/web.conf
   • /etc/system/local/inputs.conf

3. Log e Cronologia:

   • /var/log/splunk/splunkd.log
   • /var/log/splunk/audit.log
   • /var/log/splunk/metrics.log
   • /var/log/splunk/searches.log
   • /var/run/splunk/dispatch

🛡️ Mitigazione

Per proteggere il tuo server Splunk:

• Aggiorna a Splunk Enterprise 9.2.2, 9.1.5 o 9.0.10 o versioni successive.
• Applica controlli di accesso adeguati e regole firewall.

⚠️ Disclaimer

Questo exploit è solo per scopi educativi e di test di penetrazione autorizzati. L'uso non autorizzato è illegale e non etico. L'autore non si assume alcuna responsabilità per un uso improprio.