abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-carp-vhid

Write-up: https://abraxaslabs.tech/research/pfsense-carp-vhid

pfsense-carp-vhid

Klasse: RCE Reichweite: Remote

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

Die Bearbeitung virtueller IPs speichert die CARP-VHID aus dem POST ohne Prüfung auf 1-255. Die Optionen von Form_Select sind nur HTML. Die CARP-Anwendung verwendet escapeshellarg für die VHID. Die Anwendung eines gestapelten IP-Alias interpoliert vhid {$carpvip['vhid']} außerhalb von escapeshellarg. Der CARP-Status interpoliert dieselbe gespeicherte VHID in eine doppelt gequotete grep-Pipeline; das Semikolon bleibt gequotet, die Befehlssubstitution läuft dennoch unter /bin/sh -c. Die Berechtigung ist VIP-Bearbeitung + Anwendung, nicht Diagnostics: Command.

ID	noch keine CVE
Klasse	RCE
Reichweite	Remote (authentifiziertes WebGUI)
CWE	CWE-78
CVSS	Hoch: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Produkt	pfSense CE
Betroffen	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) CARP VHID
Auth	WebGUI-Sitzung mit VIP-Bearbeitung + Anwendung (Status/Widget ist ein späterer Auslöser)
Lizenz	GNU Affero GPL v3.0
Lab	nur 127.0.0.1

Ich habe den öffentlichen Master 9363ac5 gepinnt. Das Lab ist ein PHP-Gadget aus gepinntem interface_carp_configure, gestapeltem ipalias mwexec und Status-exec. Loopback 127.0.0.1:18830.

Was ein Angreifer tun kann

Methode	Sink	Berechtigung
POST einer carp-VIP mit einer nicht-ganzzahligen VHID, dann Anwenden eines gestapelten IP-Alias auf diesem _vip{uniqid}-Elternteil	mwexec ifconfig ... alias {$gateway} {$vhid} (interfaces.inc:3238)	Integrität (im Lab nachgewiesen): Root-Shell. Lab: ipalias-unescaped schrieb den Nachweis. Die CARP-Anwendung derselben VHID schrieb keinen (carp-escaped=yes).
Dieselbe gespeicherte VHID, dann GET status_carp.php oder Rendern von carp_status.widget.php	exec grep-Pipeline (pfsense-utils.inc:794)	Integrität (im Lab nachgewiesen): Die Befehlssubstitution innerhalb der doppelten Anführungszeichen lief und schrieb den Nachweis (status-sink=yes, status-subst=yes). Das Semikolon blieb gequotet. Der Widget-Auslöser kann eine andere GUI-Sitzung sein.
Dieselbe Root-Shell	Host-Dateisystem	Recon (abgeleitet): config.xml, Schlüssel.
Root-Shell oder fehlerhaftes ifconfig	CARP- / Alias-Geräte	Verfügbarkeit (abgeleitet): Störung von Interface / CARP / Filter.

Im Lab nachgewiesen vs. abgeleitet: carp-escaped, der ipalias-unescaped-Nachweis und der Nachweis der Status-Befehlssubstitution sind im Lab nachgewiesen. Dateisystem-Recon und Filterstörung sind aus Root-PHP-FPM abgeleitet.

Erfordert: page-firewall-virtualipaddress-edit (Speichern) und page-firewall-virtualipaddresses (Anwenden). Status-Sink: page-status-carp oder jedes Dashboard mit dem CARP-Widget. CSRF beim POST.

Angrenzende Angriffsfläche, die geschlossen bleibt

Fläche	Lab
Die CARP-Anwendung selbst	escapeshellarg auf VHID, carp-escaped=yes
CARP-Passwort / advbase / advskew / Subnetz	is_ipaddr / escaped
Unauth	geschlossen
xmlrpc-Anwendung derselben Objekte ohne HA-Anmeldedaten	SA-26_22-Skip-Liste
Diagnostics: Command	bleibt geschlossen, sofern nicht zusätzlich gewährt

Lab

cd lab
./run.sh

Loopback 127.0.0.1:18830. Compose-Projekt pfsense-carp-vhid. Image-Tag pfsense-carp-vhid:2.9.0-dev. Witness PFSENSE-CARP-VHID-WITNESS. Letzte Zeile:

SUCCESS PFSENSE-CARP-VHID carp-escaped=yes ipalias-unescaped=yes status-sink=yes PFSENSE-CARP-VHID-WITNESS

Die Behebung

Begrenze die VHID beim Speichern auf den Ganzzahlbereich 1-255. Wende escapeshellarg auf die VHID beim Anwenden gestapelter IP-Aliase und beim Status-grep an, so wie es die CARP-Anwendung bereits tut.

Referenzen

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• firewall_virtual_ip.inc saveVIP
• interfaces.inc gestapelte ipalias mwexec
• pfsense-utils.inc CARP-Status-grep
• CWE-78