abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-acb-restore-priv

pfsense-acb-restore-priv

Clase: Privilegio residual Alcance: Remoto

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

newver descarga, descifra con la contraseña ACB almacenada, config_restore. La userkey opcional es el conjunto de copias de seguridad de otro dispositivo. Las páginas de copia de seguridad/historial local son warn-root.

ID	sin CVE todavía
Clase	Privilegio residual
Alcance	Remoto (WebGUI autenticada salvo que se indique lo contrario)
CWE	CWE-269
CVSS	Alto: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Producto	pfSense CE
Afectado	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
Autenticación	Sesión WebGUI con page-services-acb
Licencia	GNU Affero GPL v3.0
Laboratorio	solo 127.0.0.1

Fijé el master público 9363ac5. El laboratorio es un gadget PHP del sink fijado, HTTP en loopback sobre 127.0.0.1:19040.

Artículo de la serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Qué puede hacer un atacante

Método	Sink	Privilegio
GET/POST services_acb.php newver=	acb_backup_get / decrypt / config_restore	Integridad: Probado en laboratorio: la restauración con newver reemplazó config.xml con la revisión plantada. La restauración sin newver no lo hizo.
mismo residual	mismo sink	Reconocimiento: Inferido: la misma página puede ver/descargar el XML ACB descifrado; userkey puede seleccionar el conjunto de otro dispositivo.
mismo residual	mismo sink	Disponibilidad: Inferido: la interfaz de restauración ofrece reinicio; la configuración plantada puede bloquear el acceso a la GUI.

Requiere: page-services-acb. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.

Requiere: page-services-acb. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.

Superficie adyacente que permanece cerrada

diag_backup.php / diag_confbak.php warn-root.

No hay Diagnostics: Command a menos que esa página también esté concedida.

Laboratorio

cd lab
./run.sh

Loopback 127.0.0.1:19040. Proyecto Compose pfsense-acb-restore-priv. Testigo PFSENSE-ACB-RESTORE-PRIV-WITNESS. Solo loopback: 127.0.0.1:19040. Proyecto Compose pfsense-acb-restore-priv. Testigo PFSENSE-ACB-RESTORE-PRIV-WITNESS. Gadget PHP de las líneas fijadas. El stack se desmonta tras la ejecución.

Última línea:

SUCCESS PFSENSE-ACB-RESTORE-PRIV ident-no-warn-root=yes no-newver-no-restore=yes newver-restore=yes PFSENSE-ACB-RESTORE-PRIV-WITNESS

Corrección

Marcar page-services-acb como standard-warning-root.

Referencias

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-269
• Serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers