abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-pppoe-cron

pfsense-pppoe-cron

Klasse: RCE Reichweite: Remote

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

handle_pppoe_reset verwendet eine versteckte ptpid ohne is_numericint. Die benutzerdefinierte Stunden-/Minuten-Validierung verwendet AND, wo OR nötig wäre. configure_cron schreibt Felder ungefiltert. Verwandt mit SA-26_06, nicht proxyuser.

ID	noch keine CVE
Klasse	RCE
Reichweite	Remote (authentifiziertes WebGUI, sofern nicht anders angegeben)
CWE	CWE-78
CVSS	Hoch: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Produkt	pfSense CE
Betroffen	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
Auth	WebGUI-Sitzung mit page-interfaces-ppps-edit
Lizenz	GNU Affero GPL v3.0
Lab	nur 127.0.0.1

Ich habe den öffentlichen Master 9363ac5 gepinnt. Das Lab ist ein PHP-Gadget des gepinnten Sinks, Loopback-HTTP auf 127.0.0.1:18970.

Serien-Artikel: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Was ein Angreifer tun kann

Methode	Sink	Berechtigung
POST interfaces_ppps_edit.php ptpid / pppoe_resethour	handle_pppoe_reset, dann configure_cron mit ungefilterten Feldern	Integrität: Im Lab nachgewiesen: Zeilenumbruch in ptpid fügte eine zusätzliche Root-Crontab-Zeile hinzu; Stub-Cron führte sie aus.
dasselbe Überbleibsel	derselbe Sink	Recon: Abgeleitet: zusätzlicher Cron als Root.
dasselbe Überbleibsel	derselbe Sink	Verfügbarkeit: Abgeleitet: zusätzliche periodische Befehle.

Erfordert: page-interfaces-ppps-edit. CSRF-Magic bei POST, sofern nicht anders angegeben. WebGUI PHP-FPM läuft als Root.

Erfordert: page-interfaces-ppps-edit. CSRF-Magic bei POST, sofern nicht anders angegeben. WebGUI PHP-FPM läuft als Root. CSRF-Magic bei POST, sofern nicht anders angegeben. WebGUI PHP-FPM läuft als Root.

Angrenzende Angriffsfläche, die geschlossen bleibt

SA-26_06 ist die System-Proxy-Crontab. #16128 ist die PPP-Client-Sanitisierung.

Kein Diagnostics: Command, es sei denn, diese Seite wird ebenfalls gewährt.

Lab

cd lab
./run.sh

Loopback 127.0.0.1:18970. Compose-Projekt pfsense-pppoe-cron. Witness PFSENSE-PPPOE-CRON-WITNESS. Nur Loopback: 127.0.0.1:18970. Compose-Projekt pfsense-pppoe-cron. Witness PFSENSE-PPPOE-CRON-WITNESS. PHP-Gadget der gepinnten Zeilen. Der Stack wird nach dem Lauf abgebaut.

Letzte Zeile:

SUCCESS PFSENSE-PPPOE-CRON control-one-line=yes trigger-extra-root-line=yes stub-cron-ran-extra=yes PFSENSE-PPPOE-CRON-WITNESS

Fix

is_numericint für ptpid. CR/LF in Stunde/Minute ablehnen. Crontab-Felder quoten.

Referenzen

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-78
• Serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers