ethan-andrews/exploitarium-detections
Regras de detecção KQL para Microsoft Sentinel e Defender XDR cobrindo a divulgação anônima bikini/exploitarium — um arquivo de pesquisa pessoal de mais de 15 alvos de vulnerabilidade distintos em mais de 109 arquivos rastreados, divulgado sem notificação ao fornecedor em 23 de junho de 2026.
Regras de detecção KQL para Microsoft Sentinel e Defender XDR cobrindo a divulgação anônima bikini/exploitarium — um arquivo de pesquisa pessoal com mais de 15 alvos de vulnerabilidade distintos em mais de 109 arquivos rastreados, divulgado sem notificação ao fornecedor em 23 de junho de 2026.
54 regras | 23 pastas de produtos | KQL | Autor: Ethan Andrews (@eandrews)
Última atualização: 7/1/2026
Relatório de inteligência: https://systemtwosecurity.com/share/inspiration/VNJMKFVM
Um pesquisador anônimo conhecido como 'bikini' lançou o exploitarium, um repositório GitHub contendo pesquisa de prova de conceito em mais de 15 alvos de vulnerabilidade distintos (mais de 109 arquivos rastreados em mais de 15 pastas). O repositório é atualizado ativamente — novas entradas estão sendo adicionadas conforme o pesquisador continua publicando trabalhos.
Esclarecimento de escopo: O repositório contém 15 alvos de pesquisa de vulnerabilidade distintos. A contagem de arquivos por pasta reflete arquivos individuais (scripts, payloads, auxiliares, READMEs) — não CVEs distintos. O README do pesquisador observa que estes não foram reportados no momento da postagem e convida explicitamente outros a registrar CVEs.
As descobertas tecnicamente mais significativas — escrita heap pré-autenticação no libssh2 e bypass de autenticação padrão do Docker no Gitea — foram verificadas independentemente como de alto risco com exploração ativa observada. Algumas entradas foram descartadas pela comunidade como ruído de baixo impacto.
| Pasta | Arquivos Rastreados |
|---|---|
| objdump-dlx-calc-poc | 41 |
| ghidra-12.1.2-rce-ace-calc-poc | 9 |
| openvpn-connect-echo-script-ace-poc | 8 |
| lunar-modrinth-chain-poc | 6 |
| docker-cp-copyout-destination-escape | 5 |
| imagemagick-gs-delegate-hijack-poc | 5 |
| mybb-limited-acp-to-admin | 5 |
| nmap-ipv6-extlen-wrap-poc | 4 |
| anydesk-printer-com-impersonation-poc | 4 |
| gitea-act-runner-container-options-poc | 4 |
| 7zip-rar5-motw-chain-poc | 3 |
| flowise-mcp-env-case-bypass-poc | 3 |
| floci-apigateway-vtl-rce-poc | 3 |
| libssh2-cve-2026-55200-poc | 3 |
| vlc-vp9-reschange-crash-poc | 3 |
| Total | 109 |
Exploitarium-Detections/
├── 7zip/ # MOTW bypass x3 (rules 02, 27, 28)
├── anydesk/ # COM hijack DLL, named pipe, PE fingerprint recon (rules 06, 17, 36)
├── c-ares/ # TCP UAF NDR sequence, linkage recon, DNS failure spike (rules 07, 08, 41)
├── curl/ # SMTP CRLF injection attempt + PoC artifact (rules 45, 46)
├── docker/ # Privileged container host mount shell spawn (rule 38)
├── exploitarium-generic/ # calc.exe PoC generic, multi-CVE sweep (rules 22, 44)
├── ffmpeg/ # (reserved)
├── firefox/ # SmartWindow silent enablement (rule 09)
├── flowise/ # Unauthorized API access (rule 37)
├── ghidra/ # Headless analyzer suspicious script execution (rule 40)
├── imagemagick/ # Policy bypass delegate execution (rule 39)
├── libarchive/ # ZIP debuginfod size boundary bypass x2 (rules 51, 52)
├── libssh2/ # Pre-auth RCE, DoS x2, scaffold x2, heap corruption, recon (rules 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/ # Electron IPC preload, Modrinth gameDirectory abuse (rules 15, 16)
├── mybb/ # ACP privilege escalation x2 (rules 05, 21)
├── nextjs/ # unstable_cache PoC execution, cache object collision (rules 49, 50)
├── nmap/ # IPv6 ExtLen wrap PoC (rule 18)
├── nodebb/ # ActivityPub UID spoof x2 (rules 47, 48)
├── openvpn/ # PAC injection, echo script ACE, DHCP option injection (rules 14, 42, CVE-2026-45115)
├── php/ # SOAP RCE, ASLR bypass (rules 10, 11)
├── pillow/ # ImageCms OOB write PoC execution + crash detection (rules 53, 54, 55)
├── rustdesk/ # Session bypass x4 (rules 03, 19, 23, 33, 34)
├── splunk/ # splunkd child process, reverse shell, REST API, PoC artifact (rules 20, 31, 32, 43)
└── vlc/ # VP9 crash/child spawn, WER report, VP9 decode child (rules 04, 29, 30)
| Produto | Regras | CVEs |
|---|---|---|
| libssh2 | 7 | CVE-2026-55200, CVE-2026-55199 |
| Splunk | 4 | CVE-2026-20253 |
| RustDesk | 4 | CVE-2026-46331 |
| 7-Zip | 3 | CVE-2026-45115 |
| VLC | 3 | CVE-2026-20896 |
| AnyDesk | 3 | — |
| OpenVPN Connect | 3 | CVE-2026-45115 |
| c-ares | 3 | — |
| curl | 2 | — |
| libarchive | 2 | — |
| MyBB | 2 | — |
| PHP | 2 | — |
| Lunar Client | 2 | — |
| Next.js | 2 | — |
| NodeBB | 2 | — |
| Pillow | 2 | — |
| Exploitarium Generic | 2 | — |
| Docker | 1 | — |
| Firefox | 1 | — |
| Flowise | 1 | — |
| Ghidra | 1 | — |
| ImageMagick | 1 | — |
| Nmap | 1 | — |
| CVE | CVSS | Afetado | Regras |
|---|---|---|---|
| CVE-2026-55200 | 9.2 | libssh2 ≤1.11.1 (transitivo: curl, Git, PHP) | 5 |
| CVE-2026-55199 | — | DoS no libssh2 via rotação de CPU na troca de chaves | 2 |
| CVE-2026-20253 | — | RCE no Splunk splunkd | 4 |
| CVE-2026-46331 | — | Bypass de permissão de sessão no RustDesk | 4 |
| CVE-2026-45115 | — | Bypass de MOTW no 7-Zip + ACE no OpenVPN | 4 |
| CVE-2026-20896 | — | Corrupção de heap VP9 no VLC | 3 |
| Plataforma | Regras |
|---|---|
| Windows | 38 |
| Linux | 25 |
| macOS | 6 |
| Contêiner/Runtime | 3 |
| Rede (NDR/CSL) | 1 |
| SaaS | 1 |
libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2, exploração ativalibssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — detectar reconhecimento pré-exploraçãolibssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — binários harness em discoexploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — varredura mais amplasplunk/cve-2026-20253-splunkd-unexpected-child-process.kql — alvo empresarial de alto valorrustdesk/rustdesk-session-permission-bypass-comprehensive.kql — cobertura completa de múltiplos ramoscurl/curl-smtp-expn-crlf-injection-attempt.kql — relevante para qualquer SaaS de envio de e-mail que use libcurl