abraxas/pfsense-carp-vhidpfSense CE 2.9.0-DEVELOPMENT – Hoch – Remote – RCE – CARP VHID-Überbleibsel
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-carp-vhid
Klasse: RCE Reichweite: Remote
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
Die Virtual-IP-Bearbeitung speichert die CARP-VHID aus dem POST ohne 1-255-Prüfung. Form_Select-Optionen sind nur HTML. CARP apply escapeshellargt die VHID. Stacked IP Alias apply interpoliert vhid {$carpvip['vhid']} außerhalb von escapeshellarg. Der CARP-Status interpoliert dieselbe gespeicherte VHID in eine doppelt gequotete grep-Pipeline; das Semikolon bleibt gequotet, die Command-Substitution läuft trotzdem unter /bin/sh -c. Die Berechtigung ist VIP edit + apply, nicht Diagnostics: Command.
| ID | noch keine CVE |
| Klasse | RCE |
| Reichweite | Remote (authentifizierte WebGUI) |
| CWE | CWE-78 |
| CVSS | High: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Produkt | pfSense CE |
| Betroffen | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) CARP VHID |
| Auth | WebGUI-Sitzung mit VIP edit + apply (Status/Widget ist ein späterer Trigger) |
| Lizenz | GNU Affero GPL v3.0 |
| Lab | nur 127.0.0.1 |
Ich habe den öffentlichen Master 9363ac5 gepinnt. Das Lab ist ein PHP-Gadget aus gepinntem interface_carp_configure, gestapeltem ipalias mwexec und Status-exec. Loopback 127.0.0.1:18830.
| Methode | Sink | Berechtigung |
|---|---|---|
POST carp VIP mit einer nicht-ganzzahligen VHID, dann Anwenden eines gestapelten IP Alias auf diesem _vip{uniqid}-Parent | mwexec ifconfig ... alias {$gateway} {$vhid} (interfaces.inc:3238) | Integrität (im Lab bewiesen): Root-Shell. Lab: ipalias-unescaped schrieb den Witness. CARP apply derselben VHID schrieb keinen (carp-escaped=yes). |
Dieselbe gespeicherte VHID, dann GET status_carp.php oder Rendern von carp_status.widget.php | exec grep-Pipeline (pfsense-utils.inc:794) | Integrität (im Lab bewiesen): Die Command-Substitution innerhalb der doppelten Anführungszeichen lief und schrieb den Witness (status-sink=yes, status-subst=yes). Das Semikolon blieb gequotet. Der Widget-Trigger kann eine andere GUI-Sitzung sein. |
| Dieselbe Root-Shell | Host-Dateisystem | Recon (abgeleitet): config.xml, Keys. |
Root-Shell oder kaputtes ifconfig | CARP-/Alias-Geräte | Verfügbarkeit (abgeleitet): Interface-/CARP-/Filter-Störung. |
Im Lab bewiesen vs. abgeleitet: carp-escaped, ipalias-unescaped Witness und Status-Command-Substitution-Witness sind im Lab bewiesen. Dateisystem-Recon und Filter-Störung sind aus Root-PHP-FPM abgeleitet.
Erfordert: page-firewall-virtualipaddress-edit (Speichern) und page-firewall-virtualipaddresses (Anwenden). Status-Sink: page-status-carp oder jedes Dashboard mit dem CARP-Widget. CSRF beim POST.
| Oberfläche | Lab |
|---|---|
| CARP apply selbst | escapeshellarg auf VHID, carp-escaped=yes |
| CARP-Passwort / advbase / advskew / Subnetz | is_ipaddr / escaped |
| Unauth | geschlossen |
| xmlrpc apply derselben Objekte ohne HA-Creds | SA-26_22 Skip-List |
| Diagnostics: Command | bleibt geschlossen, sofern nicht zusätzlich gewährt |
cd lab
./run.sh
Loopback 127.0.0.1:18830. Compose-Projekt pfsense-carp-vhid. Image-Tag pfsense-carp-vhid:2.9.0-dev. Witness PFSENSE-CARP-VHID-WITNESS. Letzte Zeile:
SUCCESS PFSENSE-CARP-VHID carp-escaped=yes ipalias-unescaped=yes status-sink=yes PFSENSE-CARP-VHID-WITNESS
Die VHID beim Speichern auf den Ganzzahlbereich 1-255 begrenzen. Die VHID beim Anwenden eines gestapelten IP Alias und beim Status-grep escapeshellargn, so wie CARP apply es bereits tut.
9363ac5b8651a1c7a333180425ce7719070f95f9firewall_virtual_ip.inc saveVIPinterfaces.inc gestapeltes ipalias mwexecpfsense-utils.inc CARP-Status-grep