Splunk パストラバーサル エクスプロイト (CVE-2024-36991)

説明

これは、CVE-2024-36991 に対する Proof-of-Concept (PoC) エクスプロイトスクリプトです。Windows 版 Splunk Enterprise の以下のバージョン未満に影響するパストラバーサル（パス横断）脆弱性です：

• 9.2.2
• 9.1.5
• 9.0.10

この脆弱性により、未認証の攻撃者が Splunk Web インターフェースのパストラバーサル欠陥を悪用して、サーバー上の機密ファイルにアクセスできるようになります。

重大度: Critical
影響: 任意ファイル読み取り

⚠️ 影響を受けるバージョン

• Splunk Enterprise < 9.2.2
• Splunk Enterprise < 9.1.5
• Splunk Enterprise < 9.0.10

💡 使用方法

エクスプロイトを実行するには、以下のコマンドを使用します：

# Using Python3
python3 exploit.py -u http://victim.com -s 1

# Running directly
./exploit.py -u http://victim.com -s 1

パラメータ：

• -u, --url: 対象の Splunk サーバーのベース URL。
• -s, --section: 列挙するセクションを選択します (1〜5)：

セクション：

1. 認証情報とシークレット：

   • /etc/passwd
   • /etc/auth/splunk.secret
   • /etc/auth/server.pem
   • /var/run/splunk/session
   • /etc/system/local/authentication.conf

2. 設定ファイル：

   • /etc/system/local/web.conf
   • /etc/system/local/inputs.conf

3. ログと履歴：

   • /var/log/splunk/splunkd.log
   • /var/log/splunk/audit.log
   • /var/log/splunk/metrics.log
   • /var/log/splunk/searches.log
   • /var/run/splunk/dispatch

🛡️ 緩和策

Splunk サーバーを保護するには：

• Splunk Enterprise 9.2.2、9.1.5、または 9.0.10 以降にアップグレードしてください。
• 適切なアクセス制御とファイアウォールルールを適用してください。

⚠️ 免責事項

このエクスプロイトは、教育および許可された侵入テストの目的にのみ使用されます。無断使用は違法かつ非倫理的です。作者は誤用に対する責任を負いません。