fabdotnet/cve-2023-27100Exploit für CVE-2023-27100, der den Anti-Brute-Force-Schutz von pfSense durch manipulierte X-Forwarded-For-Header und Anti-CSRF-Tokens umgeht, um die sshguard-IP-Sperrung zu umgehen.
Das Authentifizierungssystem versucht, informativ zu sein und zusätzliche Informationen zusammen mit IP-Adressen auszugeben, um vollständig zu identifizieren, von wo aus sich ein Benutzer bei der GUI-Anmeldung anmeldet. Dazu gehören die Authentifizierungsquelle (z. B. lokale Datenbank, LDAP oder RADIUS, Authentifizierungsservername) sowie der Inhalt der Proxy-Header X-Forwarded-For und Client-IP, um den genauen Standort des Benutzers weiter zu klären.
Diese zusätzlichen Informationen werden nach der IP-Adresse des entfernten Benutzers an verschiedenen Stellen ausgegeben, einschließlich Protokollmeldungen zur Authentifizierung. Bei fehlgeschlagenen GUI-Anmeldungen enthielten die Protokolleinträge den Inhalt der vom Client übermittelten Proxy-Header (X-Forwarded-For oder Client-IP).
Diese zusätzlichen Informationen verwirrten den sshguard-Authentifizierungsprotokoll-Parser, der dadurch die Client-IP-Adresse in Authentifizierungsfehlermeldungen nicht mehr erkennen konnte.
pfSense (siehe verwandte Versionen oben) ist anfällig für eine Umgehung des Anti-Brute-Force-Mechanismus, der eingerichtet wurde, um Benutzer zu blockieren, die das Limit für fehlgeschlagene Authentifizierungen erreicht haben. Der in diesem Repository verfügbare Code erleichtert die Ausnutzung dieser Sicherheitslücke mithilfe des "X-Forwarded-For"-Headers und des "Anti-CSRF"-Tokens.
