abraxas/opnsense-tunables-loaderOPNsense 26.7.6 – Hoch – Remote – Konfigurationszeilen-Injektion – Tunables-Loader
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · opnsense-tunables-loader
Write-up: https://abraxaslabs.tech/research/opnsense-tunables-loader
Klasse: Config-Zeileninjektion Reichweite: Remote
OPNsense-Kern 26.7.6 (a842fe48) - opnsense.org
System: Advanced: Tunables interpoliert weiterhin Name/Wert in /boot/loader.conf. Zurückgebliebener Verwandter von GHSA-fq94. Tunables.xml tunable / value sind reine TextField (Zeilenumbrüche aktiviert). system_login_configure() schreibt {$param}="{$value}". Die Tunables-Neukonfiguration startet außerdem login neu. Das Live-sysctl(8) läuft über shell_safe plus einen OID-Filter, dieser Schritt ist also keine Shell-Injektion. Der Überrest sind zusätzliche Loader-Direktiven beim nächsten Boot. Die Berechtigung ist page-system-advanced-sysctl, nicht page-all.
Dieses GitHub-Paket bleibt privat bis zur koordinierten Offenlegung.
| ID | noch keine CVE |
| Klasse | Config-Zeileninjektion |
| Reichweite | Remote (authentifizierte WebGUI / API) |
| CWE | CWE-93 |
| CVSS | Hoch: 8.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Produkt | OPNsense core |
| Betroffen | 26.7.6 (a842fe48c21288d11a422cb944678e8eb308becf) System: Advanced: Tunables |
| Auth | WebGUI-Sitzung oder API-Schlüssel mit page-system-advanced-sysctl |
| Lizenz | GNU Affero GPL v3.0 |
| Lab | compose exec gadget (Hunt-Slot 18850) |
Ich habe den Tag 26.7.6 Peel a842fe48 festgelegt. Das Lab ist ein PHP-Gadget der festgelegten system_login_configure()-Interpolation. Compose-Projekt opnsense-tunables-loader. Hunt-Slot 18850 in der Gadget-Familie 18800-18860; diese Compose-Datei verwendet docker compose exec php, keine veröffentlichte HTTP-Bindung.
| Methode | Sink | Berechtigung |
|---|---|---|
Tunables-Wert CR/LF (hw.usb.no_boot_wait plus "\n# witness) | Zusätzliche Zeile in system_login_configure() in /boot/loader.conf festnageln | Integrität (im Lab nachgewiesen): zusätzliches # OPNSENSE-TUNABLES-LOADER-WITNESS in eigener Zeile nach einer geschlossenen Zuweisung. Lab: newline-extra-line=yes. |
Sauberer Wert 1 | derselbe Writer | Negativ (im Lab nachgewiesen): einzelne Zuweisungszeile, kein Witness. Lab: clean-value-single-line=yes. |
| Dieselben zusätzlichen Loader-Zeilen beim nächsten Boot | Loader init_path / module_path / *_load / vfs.root.mountfrom / Konsole | Integrität (abgeleitet): Der Loader beim nächsten Boot berücksichtigt Angreifer-Schlüssel. In diesem Gadget nicht neu gestartet. |
Müll-Loader-Zeilen / falsches vfs.root.mountfrom | /boot/loader.conf | Verfügbarkeit (abgeleitet): Boot-Fehler oder falsches Root. |
POST /api/core/tunables/searchItem | Tunables-API | Recon (abgeleitet): Tunables auflisten, einschließlich aktuell/Standard/Typ. Für diese ACL vorgesehen. |
Live-sysctl -w einer gültigen OID | set_sysctl + OID-Filter | Vorgesehene Aufgabe der Seite. Zusätzliche Loader-Zeilen sind der Überrest. |
Im Lab nachgewiesen vs. abgeleitet: Zeilenumbruch mit zusätzlicher Loader-Zeile und sauberer Wert in einer Zeile sind im Lab ERFOLGREICH. Die Anwendung durch den Loader beim nächsten Boot ist abgeleitet. Gadget, keine vollständige OPNsense-FreeBSD-VM.
Erfordert: angemeldeter Benutzer oder dessen lokaler API-Schlüssel mit page-system-advanced-sysctl und ohne page-all. POST /api/core/tunables/*. CSRF bei Sitzungs-POST. Die Neukonfiguration startet login neu; rc.reload_all und der Boot rufen ebenfalls system_login_configure auf.
| Oberfläche | Lab |
|---|---|
| Live-sysctl-Shell-Injection | shell_safe plus OID-Filter |
| Sauberer Wert | einzelne Zuweisungszeile |
| Unauth | 401 |
Benutzer ohne page-system-advanced-sysctl | 403 |
user-config-readonly | save() wirft Exception |
page-all-Tunables-Admin, der eine echte OID setzt | beabsichtigt |
| GHSA-fq94 gepatchte GUI-Textfelder | andere Sinks; dieses Feld wurde nicht genannt |
Kein Unauth. Keine Live-sysctl-Shell. Kein Diagnostics: Command.
cd lab
./run.sh
Compose-Projekt opnsense-tunables-loader. Witness OPNSENSE-TUNABLES-LOADER-WITNESS. Letzte Zeile:
SUCCESS opnsense-tunables-loader newline-extra-line=yes clean-value-single-line=yes OPNSENSE-TUNABLES-LOADER-WITNESS
Root-Launcher: python3 opnsense-tunables-loader-Abraxas-Labs.py.
CR/LF und " aus dem Namen und dem Wert der Tunables entfernen, gleiche Klasse wie GHSA-fq94. Den Namen als OID-Maske typisieren, nicht als bloßes TextField. Mit einem Helper quoten, der die Zuweisung nicht schließen kann. Ein Tunable nicht in /boot/loader.conf schreiben, es sei denn, es ist ein bekannter Loader-Schlüssel.
a842fe48c21288d11a422cb944678e8eb308becfsystem.inc system_login_configure loader.conf-InterpolationTunables.xml bloßes TextField für Name/Wert