pfSense CE 2.9.0-DEVELOPMENT - Media - Remoto - Escritura de archivos - Ruta de caché de DynDNS
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-dyndns-cache-path
Clase: Escritura de archivos Alcance: Remoto
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
El host personalizado omite is_domain(). updatedns construye la ruta de caché como /conf/dyndns_{if}{type} más escapeshellarg($FQDN) más {id}.cache. Las comillas son bytes del nombre de archivo; / sigue dividiendo la ruta. El contenido es IP|epoch, no un shell.
| ID | sin CVE todavía |
| Clase | Escritura de archivos |
| Alcance | Remoto (WebGUI autenticado salvo que se indique lo contrario) |
| CWE | CWE-22 |
| CVSS | Medio: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
| Producto | pfSense CE |
| Afectado | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Autenticación | Sesión WebGUI con page-services-dynamicdnsclient |
| Licencia | GNU Affero GPL v3.0 |
| Laboratorio | solo 127.0.0.1 |
Fijé el master público 9363ac5. El laboratorio es un gadget PHP del sink fijado, HTTP en loopback sobre 127.0.0.1:19270.
Análisis de la serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Método | Sink | Privilegio |
|---|---|---|
| POST services_dyndns_edit.php con hostname personalizado con / | ruta de caché de file_put_contents usando escapeshellarg($FQDN) | Integridad: Probado en laboratorio: un hostname con / escribió IP |
| mismo remanente | mismo sink | Reconocimiento: Ninguno. El contenido es IP |
| mismo remanente | mismo sink | Disponibilidad: Inferido: sobrescribir un archivo cuyo nombre coincida con el sufijo entrecomillado. |
Requiere: page-services-dynamicdnsclient. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.
Requiere: page-services-dynamicdnsclient. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.
Sin autenticación. mwexec de FQDN. ejecución cron/php de *.cache. dyndns no personalizado rechaza ese host.
Sin Diagnostics: Command a menos que también se otorgue esa página.
cd lab
./run.sh
Loopback 127.0.0.1:19270. Proyecto Compose pfsense-dyndns-cache-path. Testigo PFSENSE-DYNDNS-CACHE-PATH-WITNESS. Solo loopback: 127.0.0.1:19270. Proyecto Compose pfsense-dyndns-cache-path. Testigo PFSENSE-DYNDNS-CACHE-PATH-WITNESS. Gadget PHP de las líneas fijadas. El stack se desmonta tras la ejecución.
Última línea:
SUCCESS PFSENSE-DYNDNS-CACHE-PATH control-under-conf=yes trigger-outside-conf=yes PFSENSE-DYNDNS-CACHE-PATH-WITNESS
No usar escapeshellarg como nombre de archivo. Aplicar basename / is_domain al host.
9363ac5b8651a1c7a333180425ce7719070f95f9