abraxas/pfsense-rss-file-redirectpfSense CE 2.9.0-DEVELOPMENT - Medio - Remoto - Lectura de archivos - Redirección RSS file://
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-rss-file-redirect
Clase: Lectura de archivos Alcance: Remoto
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
is_URL() no es solo HTTP. SimplePie fix_protocol() reescribe file:// directo a http. El Location: file:/// recursivo de 3xx no llama a fix_protocol() y hace file_get_contents de la ruta como root.
| ID | sin CVE todavía |
| Clase | Lectura de archivos |
| Alcance | Remoto (WebGUI autenticado salvo que se indique lo contrario) |
| CWE | CWE-73 |
| CVSS | Medio: 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| Producto | pfSense CE |
| Afectado | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Autenticación | Sesión WebGUI con page-dashboard-all / widgets MATCH |
| Licencia | GNU Affero GPL v3.0 |
| Laboratorio | solo 127.0.0.1 |
Fijé el master público 9363ac5. El laboratorio es un gadget PHP del sink fijado, HTTP en loopback sobre 127.0.0.1:19100.
Artículo de la serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Método | Sink | Privilegio |
|---|---|---|
| Guardado RSS del Dashboard de una URL HTTP que hace 302 a file:// | SimplePie File Location recursivo file_get_contents | Integridad: Ninguna. Solo lectura. |
| mismo remanente | mismo sink | Reconocimiento: Probado en laboratorio: HTTP 302 Location: file:/// devolvió XML plantado. El file:// directo se reescribe y se descarta. |
| mismo remanente | mismo sink | Disponibilidad: Ninguna demostrada. |
Requiere: page-dashboard-all / widgets MATCH. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.
Requiere: page-dashboard-all / widgets MATCH. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.
Codificación del título 26_04 en este pin. La URL de feed HTTP(S) del operador es la funcionalidad. El file:// directo se reescribe.
No hay Diagnostics: Command a menos que esa página también esté concedida.
cd lab
./run.sh
Loopback 127.0.0.1:19100. Proyecto Compose pfsense-rss-file-redirect. Testigo PFSENSE-RSS-FILE-REDIRECT-WITNESS. Solo loopback: 127.0.0.1:19100. Proyecto Compose pfsense-rss-file-redirect. Testigo PFSENSE-RSS-FILE-REDIRECT-WITNESS. Gadget PHP de las líneas fijadas. El stack se desmonta tras la ejecución.
Última línea:
SUCCESS PFSENSE-RSS-FILE-REDIRECT control-rewritten-away=yes trigger-file-location=yes PFSENSE-RSS-FILE-REDIRECT-WITNESS
Forzar feeds HTTP(S). No seguir Location file:. CURLOPT_PROTOCOLS HTTP(S).
9363ac5b8651a1c7a333180425ce7719070f95f9