abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-ovpn-learn-cn

pfsense-ovpn-learn-cn

Clase: RCE Alcance: Remoto

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

openvpn.learn-address.sh interpola el CN en su -m unbound -c "... local_data ${CN}.${DOMAIN} ..." sin comillas. Condicionado a unbound/regovpnclients. Un CN sin un carácter de shell igualmente implanta local-data.

ID	aún sin CVE
Clase	RCE
Alcance	Remoto (WebGUI autenticado salvo que se indique lo contrario)
CWE	CWE-78
CVSS	Alto: 8.1 CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Producto	pfSense CE
Afectado	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
Autenticación	Sesión de WebGUI con OpenVPN cert client CN when Unbound Register OpenVPN clients is on
Licencia	GNU Affero GPL v3.0
Laboratorio	solo 127.0.0.1

Fijé el master público 9363ac5. El laboratorio es un gadget PHP del sink fijado, HTTP en loopback sobre 127.0.0.1:19080.

Artículo de la serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Qué puede hacer un atacante

Método	Sink	Privilegio
OpenVPN learn-address con un CN hostil	openvpn.learn-address.sh su -m unbound -c ... ${CN}	Integridad: Probado en laboratorio: CN $(w) ejecutó w adicional como la cadena de su -c. CONTROL también implantó local-data sin sanear.
mismo remanente	mismo sink	Reconocimiento: Inferido: comandos como unbound.
mismo remanente	mismo sink	Disponibilidad: Inferido: envenenar local-data del resolver.

Requiere: OpenVPN cert client CN when Unbound Register OpenVPN clients is on. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.

Requiere: OpenVPN cert client CN when Unbound Register OpenVPN clients is on. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.

Superficie adyacente que permanece cerrada

Desactivada a menos que Register OpenVPN clients esté habilitado. El conjunto de caracteres del CN local aún puede permitir algunos caracteres.

Sin Diagnostics: Command a menos que esa página también esté concedida.

Laboratorio

cd lab
./run.sh

Loopback 127.0.0.1:19080. Proyecto Compose pfsense-ovpn-learn-cn. Testigo PFSENSE-OVPN-LEARN-CN-WITNESS. Solo loopback: 127.0.0.1:19080. Proyecto Compose pfsense-ovpn-learn-cn. Testigo PFSENSE-OVPN-LEARN-CN-WITNESS. Gadget PHP de las líneas fijadas. El stack se desmonta tras la ejecución.

Última línea:

SUCCESS PFSENSE-OVPN-LEARN-CN control-local-data=yes control-no-witness=yes m24-local-data-plant=yes trigger-exec=yes PFSENSE-OVPN-LEARN-CN-WITNESS

Corrección

Entrecomillar el CN. Rechazar metacaracteres de shell. Mantener local-data a través de unbound-control sin un shell.

Referencias

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-78
• Serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers