Splunk LPE and Persistence
As jy 'n masjien intern of ekstern ondersoek en jy vind Splunk wat loop (poort 8090), as jy gelukkig enige geldige geloofsbriewe ken, kan jy die Splunk-diens misbruik om 'n skul te uitvoer as die gebruiker wat Splunk laat loop. As root dit laat loop, kan jy voorregte na root eskaleer.
As jy reeds root is en die Splunk-diens nie net op die localhost luister nie, kan jy die wagwoordlêer van die Splunk-diens steel en die wagwoorde kraak, of nuwe geloofsbriewe daaraan toevoeg. En volharding op die gasheer handhaaf.
In die eerste prentjie hieronder kan jy sien hoe 'n Splunkd-webblad lyk.
Splunk Universal Forwarder Agent Exploit Opsomming
Vir verdere besonderhede, kyk na die pos https://eapolsniper.github.io/2020/08/14/Abusing-Splunk-Forwarders-For-RCE-And-Persistence/. Hierdie is net 'n opsomming:
Exploit-oorsig: 'n Exploit wat die Splunk Universal Forwarder Agent (UF) teiken, maak dit vir aanvallers met die agentwagwoord moontlik om arbitrêre kode op stelsels wat die agent laat loop, uit te voer, wat potensieel 'n hele netwerk kan benadeel.
Kernpunte:
Die UF-agent valideer nie inkomende verbindings of die egtheid van kode nie, wat dit vatbaar maak vir ongemagtigde kode-uitvoering.
Gewone metodes vir die verkryging van wagwoorde sluit in die vind daarvan in netwerkgidslys, lêerdeling of interne dokumentasie.
Suksesvolle uitbuiting kan lei tot toegang op die vlak van SYSTEM of root op gekompromitteerde gasheer, data-uitvoer en verdere netwerkinfiltrasie.
Uitbuiting van Exploit:
Aanvaller verkry die UF-agentwagwoord.
Maak gebruik van die Splunk API om opdragte of skripte na die agente te stuur.
Moontlike aksies sluit lêeronttrekking, manipulasie van gebruikersrekeninge en stelselkompromittering in.
Impak:
Volledige netwerkbenadeling met SYSTEM/root-vlak-toestemmings op elke gasheer.
Moontlikheid om logboekinskrywings te deaktiveer om opsporing te ontduik.
Installasie van agterdeure of losprysware.
Voorbeeldopdrag vir Uitbuiting:
Bruikbare openbare exploits:
https://github.com/cnotin/SplunkWhisperer2/tree/master/PySplunkWhisperer2
https://www.exploit-db.com/exploits/46238
https://www.exploit-db.com/exploits/46487
Misbruik van Splunk-aanvragen
Vir verdere besonderhede, kyk na die pos https://blog.hrncirik.net/cve-2023-46214-analysis
Die CVE-2023-46214 het dit moontlik gemaak om 'n willekeurige skripsie na $SPLUNK_HOME/bin/scripts te laai en het toe verduidelik dat dit moontlik was om die skripsie wat daar gestoor is, uit te voer deur die soekvraag |runshellscript script_name.sh te gebruik.
Last updated