影響: 任意のファイル読み取り

概要

このバイナリは、脆弱な Splunk インスタンスに対して細工した curl リクエストを送信することで、CVE-2024-36991 の悪用を自動化します。機密ファイルを取得し、ローカルに保存して詳細な分析を行います。スクリプトはモジュール式で、ユーザーは特定のファイルカテゴリ（例：認証情報、ログ、設定）をターゲットにできます。

主な機能:

• 対象ファイルの取得: passwd、splunk.secret、ログ、設定ファイルなどを取得します。
• モジュール設計: 簡単なターゲット指定のためにセクションに整理されています（例：認証情報、ログ、システムファイル）。
• 出力保存: 取得したファイルを自動的にディスクに保存し、オフライン分析を可能にします。

使用方法

Python スクリプト

前提条件:

• Python 3.x がインストールされていること。
• curl がシステムにインストールされていること。
• 脆弱な Splunk Enterprise インスタンス（Windows）。

エクスプロイトの実行:

• <TARGET_URL>: 脆弱な Splunk インスタンスのベースURL（例：https://splunk.example.com）。
• <SECTION_NUMBER>: 対象とするファイルタイプのセクション（1-5）を選択:
  • 1: 認証情報とシークレット（例：passwd, splunk.secret）
  • 2: 設定ファイル（例：web.conf, inputs.conf）
  • 3: ログと履歴（例：splunkd.log, audit.log）
  • 4: システムとサービスファイル（例：splunk.exe, server.conf）
  • 5: アプリとカスタムスクリプト（例：Splunk TA バイナリ）

例:

出力:

• スクリプトは取得したファイルの内容をコンソールに出力します。
• ファイルは元の名前（例：passwd, splunk.secret）でローカルに保存されます。

バイナリ PoC エクスプロイト

プリコンパイルされたバイナリ（CVE-2024-36991）が Linux（ELF 64-bit LSB 実行可能ファイル）用に提供されています。

使用方法:

バイナリに実行権限があることを確認してください:

バイナリを実行:

• <TARGET_URL>: 脆弱な Splunk インスタンスのベースURL。
• <SECTION_NUMBER>: 対象セクション（1-5、上記参照）。

例:

緩和策

• Splunk Enterprise をパッチ適用済みバージョン（9.2.2、9.1.5、または 9.0.10）にアップグレードしてください。
• 不要な場合は Splunk Web を無効にしてください。

免責事項

このツールは教育および許可されたテスト目的のみに使用されます。明示的な許可なくシステムに対して不正に使用することは違法です。開発者は誤用に対する一切の責任を負いません。