abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-timezone-phpini

pfsense-timezone-phpini

Klasse: RCE Reichweite: Remote

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

system.php schreibt $_POST['timezone'] ohne in_array gegen system_get_timezone_list(). is_timezone() lehnt nur einen abschließenden Schrägstrich ab. system_timezone_configure schreibt /var/db/zoneinfo. rc.php_ini_setup interpoliert date.timezone="${TIMEZONE}" in php.ini. Anführungszeichen plus Zeilenumbruch fügt auto_prepend_file hinzu.

ID	noch keine CVE
Klasse	RCE
Reichweite	Remote (authentifizierte WebGUI, sofern nicht anders angegeben)
CWE	CWE-94
CVSS	Hoch: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Produkt	pfSense CE
Betroffen	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
Auth	WebGUI-Sitzung mit page-system-generalsetup
Lizenz	GNU Affero GPL v3.0
Lab	nur 127.0.0.1

Ich habe den öffentlichen Master 9363ac5 gepinnt. Das Lab ist ein PHP-Gadget des gepinnten Sinks, Loopback-HTTP auf 127.0.0.1:18940.

Serien-Artikel: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Was ein Angreifer tun kann

Methode	Sink	Berechtigung
POST system.php timezone	rc.php_ini_setup date.timezone="${TIMEZONE}"	Integrität: Im Lab nachgewiesen: generierte php.ini akzeptierte auto_prepend_file; php -c plus ein php-fpm-Analogskript führte prepend aus und schrieb den Witness.
dasselbe Leftover	derselbe Sink	Recon: Abgeleitet: prepend läuft als root-PHP nach php.ini-Neuerstellung / php-fpm-Neustart.
dasselbe Leftover	derselbe Sink	Verfügbarkeit: Abgeleitet: eine kaputte php.ini kann die GUI lahmlegen, bis sie repariert wird.

Erfordert: page-system-generalsetup. CSRF-Magic bei POST, sofern nicht anders angegeben. WebGUI PHP-FPM läuft als root.

Erfordert: page-system-generalsetup. CSRF-Magic bei POST, sofern nicht anders angegeben. WebGUI PHP-FPM läuft als root. CSRF-Magic bei POST, sofern nicht anders angegeben. WebGUI PHP-FPM läuft als root.

Angrenzende Oberfläche, die geschlossen bleibt

Form_Select ist nur UI. hostname/domain haben ihre eigenen Zeichensatzprüfungen. Unauth N/A.

Kein Diagnostics: Command, es sei denn, diese Seite wird ebenfalls gewährt.

Lab

cd lab
./run.sh

Loopback 127.0.0.1:18940. Compose-Projekt pfsense-timezone-phpini. Witness PFSENSE-TIMEZONE-PHPINI-WITNESS. Nur Loopback: 127.0.0.1:18940. Compose-Projekt pfsense-timezone-phpini. Witness PFSENSE-TIMEZONE-PHPINI-WITNESS. PHP-Gadget der gepinnten Zeilen. Der Stack wird nach dem Lauf abgebaut.

Letzte Zeile:

SUCCESS PFSENSE-TIMEZONE-PHPINI control-clean=yes trigger-prepend=yes is-timezone-accepts=yes not-allowlisted=yes PFSENSE-TIMEZONE-PHPINI-WITNESS

Fix

in_array timezone gegen system_get_timezone_list(). Die rc.php_ini_setup-Interpolation mit Anführungszeichen escapen.

Referenzen

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-94
• Serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers