ethan-andrews/exploitarium-detectionsKQL 탐지 규칙 — Microsoft Sentinel 및 Defender XDR용, bikini/exploitarium 익명 공개 내용 포함. 이는 2026년 6월 23일에 벤더 통보 없이 공개된, 15개 이상의 개별 취약점 대상과 109개 이상의 추적 파일로 구성된 개인 연구 아카이브입니다.
Microsoft Sentinel 및 Defender XDR용 KQL 탐지 규칙으로, bikini/exploitarium 익명 공개 내용을 다룹니다 — 2026년 6월 23일에 공급업체 통보 없이 공개된 15개 이상의 개별 취약점 대상과 109개 이상의 추적 파일에 걸친 개인 연구 아카이브입니다.
54개 규칙 | 23개 제품 폴더 | KQL | 저자: Ethan Andrews (@eandrews)
최종 업데이트: 2026년 7월 1일
인텔 보고서: https://systemtwosecurity.com/share/inspiration/VNJMKFVM
'bikini'로 알려진 익명 연구자가 exploitarium을 공개했습니다. 이 GitHub 저장소에는 15개 이상의 개별 취약점 대상에 걸친 개념 증명 연구(15개 이상의 폴더에 109개 이상의 추적 파일)가 포함되어 있습니다. 저장소는 활발히 업데이트되고 있으며, 연구자가 계속 작업을 게시함에 따라 새로운 항목이 추가되고 있습니다.
범위 설명: 저장소에는 15개의 개별 취약점 연구 대상이 포함되어 있습니다. 폴더별 파일 수는 개별 파일(스크립트, 페이로드, 헬퍼, README)을 반영하며, 개별 CVE가 아닙니다. 연구자의 README에는 게시 시점에 보고되지 않았으며 다른 사람들이 CVE를 제출하도록 명시적으로 초대한다고 명시되어 있습니다.
기술적으로 가장 중요한 발견인 libssh2 사전 인증 힙 쓰기 및 Gitea 기본 Docker 인증 우회는 활발한 악용이 관찰된 고위험으로 독립적으로 확인되었습니다. 일부 항목은 커뮤니티에서 영향이 적은 잡음으로 무시되었습니다.
| Folder | Tracked Files |
|---|---|
| objdump-dlx-calc-poc | 41 |
| ghidra-12.1.2-rce-ace-calc-poc | 9 |
| openvpn-connect-echo-script-ace-poc | 8 |
| lunar-modrinth-chain-poc | 6 |
| docker-cp-copyout-destination-escape | 5 |
| imagemagick-gs-delegate-hijack-poc | 5 |
| mybb-limited-acp-to-admin | 5 |
| nmap-ipv6-extlen-wrap-poc | 4 |
| anydesk-printer-com-impersonation-poc | 4 |
| gitea-act-runner-container-options-poc | 4 |
| 7zip-rar5-motw-chain-poc | 3 |
| flowise-mcp-env-case-bypass-poc | 3 |
| floci-apigateway-vtl-rce-poc | 3 |
| libssh2-cve-2026-55200-poc | 3 |
| vlc-vp9-reschange-crash-poc | 3 |
| Total | 109 |
Exploitarium-Detections/
├── 7zip/ # MOTW bypass x3 (rules 02, 27, 28)
├── anydesk/ # COM hijack DLL, named pipe, PE fingerprint recon (rules 06, 17, 36)
├── c-ares/ # TCP UAF NDR sequence, linkage recon, DNS failure spike (rules 07, 08, 41)
├── curl/ # SMTP CRLF injection attempt + PoC artifact (rules 45, 46)
├── docker/ # Privileged container host mount shell spawn (rule 38)
├── exploitarium-generic/ # calc.exe PoC generic, multi-CVE sweep (rules 22, 44)
├── ffmpeg/ # (reserved)
├── firefox/ # SmartWindow silent enablement (rule 09)
├── flowise/ # Unauthorized API access (rule 37)
├── ghidra/ # Headless analyzer suspicious script execution (rule 40)
├── imagemagick/ # Policy bypass delegate execution (rule 39)
├── libarchive/ # ZIP debuginfod size boundary bypass x2 (rules 51, 52)
├── libssh2/ # Pre-auth RCE, DoS x2, scaffold x2, heap corruption, recon (rules 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/ # Electron IPC preload, Modrinth gameDirectory abuse (rules 15, 16)
├── mybb/ # ACP privilege escalation x2 (rules 05, 21)
├── nextjs/ # unstable_cache PoC execution, cache object collision (rules 49, 50)
├── nmap/ # IPv6 ExtLen wrap PoC (rule 18)
├── nodebb/ # ActivityPub UID spoof x2 (rules 47, 48)
├── openvpn/ # PAC injection, echo script ACE, DHCP option injection (rules 14, 42, CVE-2026-45115)
├── php/ # SOAP RCE, ASLR bypass (rules 10, 11)
├── pillow/ # ImageCms OOB write PoC execution + crash detection (rules 53, 54, 55)
├── rustdesk/ # Session bypass x4 (rules 03, 19, 23, 33, 34)
├── splunk/ # splunkd child process, reverse shell, REST API, PoC artifact (rules 20, 31, 32, 43)
└── vlc/ # VP9 crash/child spawn, WER report, VP9 decode child (rules 04, 29, 30)
| 플랫폼 | 규칙 |
|---|
libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2, 활발한 악용libssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — 악용 전 정찰 탐지libssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — 디스크에 남은 harness 바이너리exploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — 가장 광범위한 스위프splunk/cve-2026-20253-splunkd-unexpected-child-process.kql — 고가치 엔터프라이즈 대상rustdesk/rustdesk-session-permission-bypass-comprehensive.kql — 전체 다중 분기 적용curl/curl-smtp-expn-crlf-injection-attempt.kql — libcurl을 사용하는 모든 메일 발신 SaaS에 관련각 .kql 파일에는 전체 규칙 본문과 메타데이터 헤더(심각도, 플랫폼, MITRE ID, CVE, detections.ai 링크)가 포함되어 있습니다. Sentinel에 예약된 쿼리 규칙으로 직접 가져오거나 Defender XDR에 사용자 지정 탐지로 가져오세요.
규칙은 detections.ai 언어 번역 기능을 통해 Splunk SPL, Elastic, Chronicle 및 기타 스택에서도 사용할 수 있습니다.
Ethan Andrews 신뢰할 수 있는 기여자 — detections.ai
| 제품 | 규칙 | CVE |
|---|
| libssh2 | 7 | CVE-2026-55200, CVE-2026-55199 |
| Splunk | 4 | CVE-2026-20253 |
| RustDesk | 4 | CVE-2026-46331 |
| 7-Zip | 3 | CVE-2026-45115 |
| VLC | 3 | CVE-2026-20896 |
| AnyDesk | 3 | — |
| OpenVPN Connect | 3 | CVE-2026-45115 |
| c-ares | 3 | — |
| curl | 2 | — |
| libarchive | 2 | — |
| MyBB | 2 | — |
| PHP | 2 | — |
| Lunar Client | 2 | — |
| Next.js | 2 | — |
| NodeBB | 2 | — |
| Pillow | 2 | — |
| Exploitarium Generic | 2 | — |
| Docker | 1 | — |
| Firefox | 1 | — |
| Flowise | 1 | — |
| Ghidra | 1 | — |
| ImageMagick | 1 | — |
| Nmap | 1 | — |
| CVE | CVSS | 영향받는 제품 | 규칙 |
|---|
| CVE-2026-55200 | 9.2 | libssh2 ≤1.11.1 (전이적: curl, Git, PHP) | 5 |
| CVE-2026-55199 | — | 키 교환 CPU 스핀을 통한 libssh2 DoS | 2 |
| CVE-2026-20253 | — | Splunk splunkd RCE | 4 |
| CVE-2026-46331 | — | RustDesk 세션 권한 우회 | 4 |
| CVE-2026-45115 | — | 7-Zip MOTW 우회 + OpenVPN ACE | 4 |
| CVE-2026-20896 | — | VLC VP9 힙 손상 | 3 |
| Windows | 38 |
| Linux | 25 |
| macOS | 6 |
| Container/Runtime | 3 |
| Network (NDR/CSL) | 1 |
| SaaS | 1 |
| # | 폴더 | 파일 | CVE |
|---|
| 01 | libssh2 | cve-2026-55200-pre-auth-rce-child-process.kql | CVE-2026-55200 |
| 02 | 7zip | 7zip-rar5-motw-bypass-extracted-exe-launch.kql | CVE-2026-45115 |
| 03 | rustdesk | rustdesk-session-permission-bypass-comprehensive.kql | CVE-2026-46331 |
| 04 | vlc | vlc-vp9-resolution-change-crash-child-spawn.kql | CVE-2026-20896 |
| 05 | mybb | mybb-acp-privesc-limited-admin-template-plugin.kql | — |
| 06 | anydesk | anydesk-printer-com-hijack-dll-load.kql | — |
| 07 | c-ares | c-ares-tcp-uaf-dns-formerr-rst-ndr.kql | — |
| 08 | c-ares | c-ares-linkage-discovery-ldd-readelf-recon.kql | — |
| 09 | firefox | firefox-smartwindow-silent-enable-attacker-endpoint.kql | — |
| 10 | php | php-857-soap-rce-heap-spray.kql | — |
| 11 | php | php-aslr-defeat-proc-self-maps-mem.kql | — |
| 12 | libssh2 | cve-2026-55200-malicious-ssh-scaffold-cipher-negotiation.kql | CVE-2026-55200 |
| 13 | libssh2 | cve-2026-55200-libpwn-scaffold-execution.kql | CVE-2026-55200 |
| 14 | openvpn | openvpn-pac-autoconfigurl-injection.kql | — |
| 15 | lunar-client | lunar-client-electron-preload-ipc-privesc.kql | — |
| 16 | lunar-client | lunar-client-modrinth-ipc-gamedirectory-abuse.kql | — |
| 17 | anydesk | anydesk-976-pe-fingerprint-recon.kql | — |
| 18 | nmap | nmap-ipv6-extlen-wrap-poc-compilation-execution.kql | — |
| 19 | rustdesk | rustdesk-anomalous-relay-connection-ports.kql | CVE-2026-46331 |
| 20 | splunk | cve-2026-20253-splunkd-unexpected-child-process.kql | CVE-2026-20253 |
| 21 | mybb | mybb-limited-acp-accessing-superadmin-functions.kql | — |
| 22 | exploitarium-generic | exploitarium-poc-calc-spawned-by-anomalous-parent.kql | — |
| 23 | rustdesk | rustdesk-session-permission-bypass-comprehensive.kql | CVE-2026-46331 |
| 24 | libssh2 | libssh2-linkage-recon-ldd-readelf-strings.kql | CVE-2026-55200 |
| 25 | libssh2 | cve-2026-55199-libssh2-dos-cpu-spin.kql | CVE-2026-55199 |
| 26 | libssh2 | libssh2-publickey-heap-corruption-poc.kql | CVE-2026-55200 |
| 27 | 7zip | cve-2026-45115-7zip-motw-archive-extraction-temp-execution.kql | CVE-2026-45115 |
| 28 | 7zip | cve-2026-45115-7zip-rar5-motw-zone-identifier-absent.kql | CVE-2026-45115 |
| 29 | vlc | cve-2026-20896-vlc-vp9-crash-dump-wer-report.kql | CVE-2026-20896 |
| 30 | vlc | cve-2026-20896-vlc-suspicious-child-process-vp9-decode.kql | CVE-2026-20896 |
| 31 | splunk | cve-2026-20253-splunk-rce-reverse-shell-indicators.kql | CVE-2026-20253 |
| 32 | splunk | cve-2026-20253-splunk-malicious-search-command-rest-api.kql | CVE-2026-20253 |
| 33 | rustdesk | cve-2026-46331-rustdesk-unauthenticated-relay-forged-token.kql | CVE-2026-46331 |
| 34 | rustdesk | cve-2026-46331-rustdesk-relay-server-impersonation-nonstandard-port.kql | CVE-2026-46331 |
| 35 | libssh2 | cve-2026-55199-libssh2-dos-malformed-kex-init-flood.kql | CVE-2026-55199 |
| 36 | anydesk | anydesk-com-printer-pipe-named-pipe-creation.kql | — |
| 37 | flowise | flowise-ai-server-unauthorized-api-access-prompt-injection.kql | — |
| 38 | docker | docker-container-escape-privileged-host-mount-shell.kql | — |
| 39 | imagemagick | imagemagick-policy-bypass-delegate-execution.kql | — |
| 40 | ghidra | ghidra-headless-analyzer-suspicious-script-execution.kql | — |
| 41 | c-ares | c-ares-tcp-uaf-dns-resolution-failure-spike.kql | — |
| 42 | openvpn | openvpn-dhcp-option-injection-autoconfigurl-registry.kql | — |
| 43 | splunk | cve-2026-20253-splunk-exploit-poc-script-artifact.kql | CVE-2026-20253 |
| 44 | exploitarium-generic | multi-cve-exploitarium-sweep-simultaneous-poc.kql | 모든 6개 CVE |
| 45 | curl | curl-smtp-expn-crlf-injection-attempt.kql | — |
| 46 | curl | curl-smtp-expn-crlf-poc-artifact-detection.kql | — |
| 47 | nodebb | nodebb-activitypub-uid-spoof-poc-execution.kql | — |
| 48 | nodebb | nodebb-activitypub-attributedto-uid-spoof-outbound-actor-fetch.kql | — |
| 49 | nextjs | nextjs-unstable-cache-poc-execution.kql | — |
| 50 | nextjs | nextjs-unstable-cache-object-argument-collision-cache-poisoning.kql | — |
| 51 | libarchive | libarchive-zip-debuginfod-size-boundary-poc-execution.kql | — |
| 52 | libarchive | libarchive-debuginfod-zip-size-boundary-bypass-poc.kql | — |
| 53 | pillow | pillow-imagecms-oob-write-poc-execution.kql | — |
| 54 | pillow | pillow-imagecms-oob-write-crash-detection.kql | — |