Эксплойт обхода пути в Splunk (CVE-2024-36991)

Описание

Это эксплойт Proof-of-Concept (PoC) для CVE-2024-36991, уязвимости обхода пути (path traversal), затрагивающей Splunk Enterprise на Windows версий ниже:

• 9.2.2
• 9.1.5
• 9.0.10

Уязвимость позволяет неаутентифицированным злоумышленникам получать доступ к конфиденциальным файлам на сервере, используя дефект обхода пути в веб-интерфейсе Splunk.

Серьезность: Критическая
Воздействие: Чтение произвольных файлов

⚠️ Уязвимые версии

• Splunk Enterprise < 9.2.2
• Splunk Enterprise < 9.1.5
• Splunk Enterprise < 9.0.10

💡 Использование

Для запуска эксплойта используйте следующие команды:

# Using Python3
python3 exploit.py -u http://victim.com -s 1

# Running directly
./exploit.py -u http://victim.com -s 1

Параметры:

• -u, --url: Базовый URL целевого сервера Splunk.
• -s, --section: Выберите раздел для перечисления (1-5):

Разделы:

1. Учетные данные и секреты:

   • /etc/passwd
   • /etc/auth/splunk.secret
   • /etc/auth/server.pem
   • /var/run/splunk/session
   • /etc/system/local/authentication.conf

2. Конфигурационные файлы:

   • /etc/system/local/web.conf
   • /etc/system/local/inputs.conf

3. Логи и история:

   • /var/log/splunk/splunkd.log
   • /var/log/splunk/audit.log
   • /var/log/splunk/metrics.log
   • /var/log/splunk/searches.log
   • /var/run/splunk/dispatch

🛡️ Меры защиты

Для защиты вашего сервера Splunk:

• Обновитесь до Splunk Enterprise 9.2.2, 9.1.5 или 9.0.10 или более поздней версии.
• Примените соответствующие средства контроля доступа и правила брандмауэра.

⚠️ Отказ от ответственности

Этот эксплойт предназначен только для образовательных и авторизованных тестов на проникновение. Несанкционированное использование незаконно и неэтично. Автор не несет ответственности за неправомерное использование.