abraxas/pfsense-dhcpd-confpfSense CE 2.9.0-DEVELOPMENT - Medio - Remoto - Inyección de configuración - ISC dhcpd filename
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-dhcpd-conf
Clase: Inyección de configuración Alcance: Remoto
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
services_dhcpdv4_configure interpola filename "{$sm['filename']}"; sin addslashes. La GUI almacena $_POST['filename'] sin filtro de comillas/saltos de línea. El JSON de Kea es SA-26_20 skip.
| ID | sin CVE todavía |
| Clase | Inyección de configuración |
| Alcance | Remoto (WebGUI autenticada salvo que se indique lo contrario) |
| CWE | CWE-74 |
| CVSS | Medio: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
| Producto | pfSense CE |
| Afectado | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Autenticación | Sesión WebGUI con page-services-dhcpserver-editstaticmapping |
| Licencia | GNU Affero GPL v3.0 |
| Laboratorio | solo 127.0.0.1 |
Fijé el master público 9363ac5. El laboratorio es un gadget PHP del sink fijado, HTTP en loopback sobre 127.0.0.1:19250.
Write-up de la serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Método | Sink | Privilegio |
|---|---|---|
| POST services_dhcp_edit.php filename | filename "{$sm['filename']}"; | Integridad: Probado en laboratorio: opción extra tftp-server-name en la conf del chroot. El filename nunca llegó a argv. |
| mismo leftover | mismo sink | Recon: Ninguno mostrado. |
| mismo leftover | mismo sink | Disponibilidad: Inferido: fallo de parseo de dhcpd u opción PXE extra. |
Requiere: page-services-dhcpserver-editstaticmapping. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.
Requiere: page-services-dhcpserver-editstaticmapping. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.
Shell del host. Archivos fuera del chroot. JSON de Kea. Conjunto de caracteres de hostname. Comillas de texto en numberoptions.
No Diagnostics: Command a menos que esa página también esté concedida.
cd lab
./run.sh
Loopback 127.0.0.1:19250. Proyecto Compose pfsense-dhcpd-conf. Testigo PFSENSE-DHCPD-CONF-WITNESS. Solo loopback: 127.0.0.1:19250. Proyecto Compose pfsense-dhcpd-conf. Testigo PFSENSE-DHCPD-CONF-WITNESS. Gadget PHP de las líneas fijadas. El stack se desmonta tras la ejecución.
Última línea:
SUCCESS PFSENSE-DHCPD-CONF control-one-filename=yes trigger-extra-statement=yes PFSENSE-DHCPD-CONF-WITNESS
addslashes / rechazar comillas y saltos de línea en filename/rootpath/ldap/DUID.
9363ac5b8651a1c7a333180425ce7719070f95f9