CVE-2024-36991-Ferramenta

Este PoC binário automatiza a exploração do CVE-2024-36991 enviando requisições curl elaboradas para uma instância Splunk vulnerável. Ele recupera arquivos sensíveis e os salva localmente para análise posterior. O script é modular, permitindo que os usuários segmentem categorias específicas de arquivos (ex.: credenciais, logs, configurações). Esta ferramenta foi bifurcada de https://github.com/jaytiwari05/CVE-2024-36991 e depois modificada para coletar e armazenar arquivos, para uso pela Equipe ISP1337Hackers.

Resumo da Vulnerabilidade

O CVE-2024-36991 é uma vulnerabilidade crítica de path traversal que afeta o Splunk Enterprise em sistemas Windows (versões abaixo de 9.2.2, 9.1.5 e 9.0.10). A falha permite que atacantes não autenticados leiam arquivos arbitrários no sistema, explorando o tratamento inadequado de letras de unidade em caminhos Windows através do endpoint /modules/messaging/. Isso pode expor arquivos sensíveis como /etc/passwd, splunk.secret e arquivos de configuração.

Pontuação CVSS: 7.5 (Alta Severidade)

Exploração: Remota, Não Autenticada

Impacto: Leitura Arbitrária de Arquivos

Visão Geral

Este binário automatiza a exploração do CVE-2024-36991 enviando requisições curl elaboradas para uma instância Splunk vulnerável. Ele recupera arquivos sensíveis e os salva localmente para análise posterior. O script é modular, permitindo que os usuários segmentem categorias específicas de arquivos (ex.: credenciais, logs, configurações).

Principais Funcionalidades:

• Recuperação Direcionada de Arquivos: Obtém arquivos como passwd, splunk.secret, logs e arquivos de configuração.
• Design Modular: Organizado em seções para fácil direcionamento (ex.: credenciais, logs, arquivos do sistema).
• Salvamento de Saída: Salva automaticamente os arquivos recuperados em disco para análise offline.

Instruções de Uso

Script Python

Pré-requisitos:

• Python 3.x instalado.
• curl instalado no sistema.
• Uma instância Splunk Enterprise vulnerável (Windows).

Executando o Exploit:

./CVE-2024-36991 -u <TARGET_URL> -s <SECTION_NUMBER>

• <TARGET_URL>: URL base da instância Splunk vulnerável (ex.: https://splunk.example.com).
• <SECTION_NUMBER>: Escolha uma seção (1-5) para direcionar tipos específicos de arquivos:
  1. Credenciais e Segredos (ex.: passwd, splunk.secret).
  2. Arquivos de Configuração (ex.: web.conf, inputs.conf).
  3. Logs e Histórico (ex.: splunkd.log, audit.log).
  4. Arquivos de Sistema e Serviços (ex.: splunk.exe, server.conf).
  5. Aplicativos e Scripts Personalizados (ex.: binários Splunk TA).

Exemplo:

./CVE-2024-36991 -u https://vulnerable-splunk.com -s 1

Saída:

• O script imprime o conteúdo dos arquivos recuperados no console.
• Os arquivos são salvos localmente com seus nomes originais (ex.: passwd, splunk.secret).

Exploit PoC Binário

Um binário pré-compilado (CVE-2024-36991) é fornecido para Linux (ELF 64-bit LSB executable).

Uso:

Garanta que o binário tenha permissão de execução:

chmod +x CVE-2024-36991

Execute o binário:

./CVE-2024-36991 -u <TARGET_URL> -s <SECTION_NUMBER>

• <TARGET_URL>: URL base da instância Splunk vulnerável.
• <SECTION_NUMBER>: Seção a ser direcionada (1-5, conforme acima).

Exemplo:

./CVE-2024-36991 -u https://vulnerable-splunk.com -s 1

Mitigação

• Atualize o Splunk Enterprise para as versões corrigidas (9.2.2, 9.1.5 ou 9.0.10).
• Desabilite o Splunk Web se não for necessário.

Aviso Legal

Esta ferramenta é destinada apenas para fins educacionais e de teste autorizado. O uso não autorizado contra sistemas sem permissão explícita é ilegal. Os desenvolvedores não assumem nenhuma responsabilidade por uso indevido.