abraxas/pfsense-config-readonly-restorepfSense CE 2.9.0-DEVELOPMENT – Hoch – Remote – Verbleibendes Privileg – readonly config_install
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-config-readonly-restore
Klasse: Privilegien-Überrest Reichweite: Remote
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
write_config beachtet user-config-readonly. config_install und config_restore ersetzen config.xml ohne diese Prüfung.
| ID | noch keine CVE |
| Klasse | Privilegien-Überrest |
| Reichweite | Remote (authentifizierte WebGUI, sofern nicht anders angegeben) |
| CWE | CWE-863 |
| CVSS | Hoch: 7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L |
| Produkt | pfSense CE |
| Betroffen | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Auth | WebGUI-Sitzung mit einer Seite, die config_install / config_restore aufrufen kann, während Deny Config Write gesetzt ist |
| Lizenz | GNU Affero GPL v3.0 |
| Lab | nur 127.0.0.1 |
Ich habe den öffentlichen Master 9363ac5 gepinnt. Das Lab ist ein PHP-Gadget des gepinnten Sinks, Loopback-HTTP auf 127.0.0.1:19200.
Serien-Artikel: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Methode | Sink | Privileg |
|---|---|---|
| config_install / config_restore als Benutzer mit Deny Config Write | config_install kopiert auf config.xml | Integrität: Im Lab bewiesen: write_config verweigert; config_install und config_restore ersetzten config.xml dennoch. |
| derselbe Überrest | derselbe Sink | Recon: Nichts gezeigt. |
| derselbe Überrest | derselbe Sink | Verfügbarkeit: Vermutet: platzierte Konfiguration kann neu starten / aussperren. |
Erfordert: eine Seite, die config_install / config_restore aufrufen kann, während Deny Config Write gesetzt ist. CSRF-Magic bei POST, sofern nicht anders angegeben. WebGUI PHP-FPM läuft als root.
Erfordert: eine Seite, die config_install / config_restore aufrufen kann, während Deny Config Write gesetzt ist. CSRF-Magic bei POST, sofern nicht anders angegeben. WebGUI PHP-FPM läuft als root. CSRF-Magic bei POST, sofern nicht anders angegeben. WebGUI PHP-FPM läuft als root.
Normale Konfigurationsschreibvorgänge bleiben verweigert.
Kein Diagnostics: Command, es sei denn, diese Seite wird ebenfalls gewährt.
cd lab
./run.sh
Loopback 127.0.0.1:19200. Compose-Projekt pfsense-config-readonly-restore. Witness PFSENSE-CONFIG-READONLY-RESTORE-WITNESS. Nur Loopback: 127.0.0.1:19200. Compose-Projekt pfsense-config-readonly-restore. Witness PFSENSE-CONFIG-READONLY-RESTORE-WITNESS. PHP-Gadget der gepinnten Zeilen. Der Stack wird nach dem Lauf abgebaut.
Letzte Zeile:
SUCCESS PFSENSE-CONFIG-READONLY-RESTORE write-denied=yes install-replace=yes restore-replace=yes PFSENSE-CONFIG-READONLY-RESTORE-WITNESS
user-config-readonly in config_install und config_restore beachten.
9363ac5b8651a1c7a333180425ce7719070f95f9