abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-unbound-acl-crlf

pfsense-unbound-acl-crlf

Clase: RCE Alcance: Remoto

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

El nombre/acción de la ACL se escriben en access_lists.conf sin checkconf. Mismo include: clase que sock-queue-timeout, campo tipado diferente.

ID	sin CVE todavía
Clase	RCE
Alcance	Remoto (WebGUI autenticado salvo que se indique lo contrario)
CWE	CWE-74
CVSS	Alto: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Producto	pfSense CE
Afectado	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
Autenticación	Sesión WebGUI con page-services-dnsresolver-acls
Licencia	GNU Affero GPL v3.0
Laboratorio	solo 127.0.0.1

Fijé el master público 9363ac5. El laboratorio es un gadget PHP del sink fijado, HTTP en loopback sobre 127.0.0.1:19060.

Serie de artículos: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Qué puede hacer un atacante

Método	Sink	Privilegio
POST services_unbound_acls.php aclname / aclaction	unbound_acls_config access_lists.conf	Integridad: Probado en laboratorio: CRLF include: en el nombre o la acción; el stub de unbound volcó el testigo plantado.
mismo leftover	mismo sink	Reconocimiento: Probado en laboratorio: se devolvió el cuerpo del archivo host incluido.
mismo leftover	mismo sink	Disponibilidad: Inferido: fallo al iniciar el resolver.

Requiere: page-services-dnsresolver-acls. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.

Requiere: page-services-dnsresolver-acls. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.

Superficie adyacente que permanece cerrada

network/mask is_ipaddr. descr no interpolado. #16637 no menciona ACLs.

No Diagnostics: Command a menos que esa página también esté concedida.

Laboratorio

cd lab
./run.sh

Loopback 127.0.0.1:19060. Proyecto Compose pfsense-unbound-acl-crlf. Testigo PFSENSE-UNBOUND-ACL-CRLF-WITNESS. Solo loopback: 127.0.0.1:19060. Proyecto Compose pfsense-unbound-acl-crlf. Testigo PFSENSE-UNBOUND-ACL-CRLF-WITNESS. Gadget PHP de las líneas fijadas. El stack se desmonta tras la ejecución.

Última línea:

SUCCESS PFSENSE-UNBOUND-ACL-CRLF control-one-stanza=yes trigger-name-include=yes trigger-action-include=yes checkconf-on-acl-save=no PFSENSE-UNBOUND-ACL-CRLF-WITNESS

Corrección

Comprobar el juego de caracteres del nombre/acción de la ACL. test_unbound_config al guardar la ACL.

Referencias

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-74
• Serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers