CVE-2024-36991-Tool

취약점 요약

CVE-2024-36991은 Windows 시스템의 Splunk Enterprise(9.2.2, 9.1.5, 9.0.10 미만 버전)에 영향을 미치는 심각한 경로 탐색 취약점입니다. 이 결함은 인증되지 않은 공격자가 /modules/messaging/ 엔드포인트를 통해 Windows 경로에서 드라이브 문자를 부적절하게 처리하는 점을 악용하여 시스템의 임의 파일을 읽을 수 있도록 합니다. 이를 통해 /etc/passwd, splunk.secret, 구성 파일과 같은 민감한 파일이 노출될 수 있습니다.

CVSS 점수: 7.5 (높은 심각도)

악용 가능성: 원격, 인증 불필요

영향: 임의 파일 읽기

개요

이 바이너리는 취약한 Splunk 인스턴스에 조작된 curl 요청을 전송하여 CVE-2024-36991의 익스플로잇을 자동화합니다. 민감한 파일을 검색하여 로컬에 저장하여 추가 분석을 가능하게 합니다. 스크립트는 모듈식으로 설계되어 사용자가 특정 파일 범주(예: 자격 증명, 로그, 구성)를 대상으로 지정할 수 있습니다.

주요 기능:

• 대상 파일 검색: passwd, splunk.secret, 로그, 구성 파일 등을 가져옵니다.
• 모듈식 설계: 쉬운 대상 지정을 위해 섹션으로 구성 (예: 자격 증명, 로그, 시스템 파일).
• 출력 저장: 검색된 파일을 자동으로 디스크에 저장하여 오프라인 분석을 지원합니다.

사용 지침

Python 스크립트

전제 조건:

• Python 3.x 설치
• 시스템에 curl 설치
• 취약한 Splunk Enterprise 인스턴스 (Windows)

익스플로잇 실행:

./CVE-2024-36991 -u <TARGET_URL> -s <SECTION_NUMBER>

• <TARGET_URL>: 취약한 Splunk 인스턴스의 기본 URL (예: https://splunk.example.com).
• <SECTION_NUMBER>: 특정 파일 유형을 대상으로 할 섹션(1-5) 선택:
  • 1: 자격 증명 및 비밀 (예: passwd, splunk.secret)
  • 2: 구성 파일 (예: web.conf, inputs.conf)
  • 3: 로그 및 기록 (예: splunkd.log, audit.log)
  • 4: 시스템 및 서비스 파일 (예: splunk.exe, server.conf)
  • 5: 앱 및 사용자 정의 스크립트 (예: Splunk TA 바이너리)

예:

./CVE-2024-36991 -u https://vulnerable-splunk.com -s 1

출력:

• 스크립트는 검색된 파일 내용을 콘솔에 출력합니다.
• 파일은 원래 이름(예: passwd, splunk.secret)으로 로컬에 저장됩니다.

바이너리 PoC 익스플로잇

Linux용 사전 컴파일된 바이너리(CVE-2024-36991)가 제공됩니다 (ELF 64비트 LSB 실행 파일).

사용법:

바이너리에 실행 권한이 있는지 확인하십시오:

chmod +x CVE-2024-36991

바이너리 실행:

./CVE-2024-36991 -u <TARGET_URL> -s <SECTION_NUMBER>

• <TARGET_URL>: 취약한 Splunk 인스턴스의 기본 URL.
• <SECTION_NUMBER>: 대상 섹션 (1-5, 위와 동일).

예:

./CVE-2024-36991 -u https://vulnerable-splunk.com -s 1

완화 조치

• Splunk Enterprise를 패치된 버전(9.2.2, 9.1.5 또는 9.0.10)으로 업그레이드하십시오.
• 필요하지 않은 경우 Splunk Web을 비활성화하십시오.

면책 조항

이 도구는 교육 및 승인된 테스트 목적으로만 사용됩니다. 명시적 허가 없이 시스템에 무단으로 사용하는 것은 불법입니다. 개발자는 오용에 대한 책임을 지지 않습니다.