Exploitarium: Anonymes GitHub-Repo veröffentlicht dutzende unveröffentlichte 0-Days

Ein anonymer GitHub-Account unter dem Namen “bikini” hat ein Repository namens exploitarium veröffentlicht, das eine wachsende Sammlung von Proof-of-Concept-Exploits für unveröffentlichte Schwachstellen enthält. Das Repository beschreibt sich selbst als “ein einziges Archiv öffentlicher Exploit-PoCs und Vulnerability-Research-Writeups” – mit dem bedeutsamen Zusatz: “Zum Zeitpunkt der Veröffentlichung wurde keiner davon reported.”

Was ist exploitarium?

Das Repository enthält derzeit über 20 Verzeichnisse mit PoCs für verschiedene Produkte, darunter:

• Docker (cp copyout destination escape)
• AnyDesk (printer COM impersonation)
• FFmpeg (RASC DLTA calc vulnerability)
• Firefox (SmartWindow private URL exfiltration)
• Ghidra 12.1.2 (RCE/ACE vulnerability)
• 7-Zip (RAR5 MoTW chain)
• c-ares (TCP UAF calc)
• Flowise (MCP env case bypass)

Die Schwachstellen decken ein breites Spektrum ab: von Container-Escapes über Remote Code Execution bis hin zu Informationslecks. Besonders bemerkenswert ist die Inklusion von Schwachstellen in Security-Tools wie Ghidra – ein Ironie, die nicht unbeachtet bleiben sollte.

Die Philosophie dahinter

Der Repository-Betreiber begründet das Vorgehen mit einem pädagogischen Ansatz: “Ich tue dies, um Menschen in das Feld zu locken, und ich habe immer gefunden, dass dies der effizienteste Weg ist.” Die Einladung, die Schwachstellen selbst zu reporten und CVE-Credit zu nehmen, ist ebenfalls Teil des Konzepts – eine unkonventionelle Form von Responsible Disclosure.

Security-Implications

Die Veröffentlichung unveröffentlichter Exploits ist ein zweischneidiges Schwert:

• Für Angreifer stellt das Repository eine wertvolle Ressource dar – die PoCs sind funktionsfähig und dokumentiert
• Für Verteidiger bietet es einen frühen Einblick in potenzielle Angriffsvektoren, bevor diese in der Wild auftauchen
• Für Forscher demonstriert es die Machbarkeit automatisierter Vulnerability-Discovery

Mit über 600 Stars und 148 Forks (Stand 27.06.2026) hat das Repository bereits erhebliche Aufmerksamkeit in der Security-Community erhalten. Ob dies zu einer Welle von Patches oder zu vermehrter Ausnutzung führt, bleibt abzuwarten.

Fazit

Exploitarium repräsentiert einen radikalen Ansatz in der Vulnerability-Disclosure-Debatte. Während Full Disclosure historisch betrachtet oft Hersteller zum Handeln zwingt, wirft die unkoordinierte Veröffentlichung unpatchter Schwachstellen erhebliche ethische Fragen auf. Für Security-Teams bedeutet dies: Die PoCs sind öffentlich – prüfen Sie Ihre Systeme.