abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-unbound-sock-timeout

pfsense-unbound-sock-timeout

Clase: RCE Alcance: Remoto

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

sock_queue_timeout se almacena en bruto. unbound.inc emite sock-queue-timeout: {$sock_queue_timeout} sin test_unbound_config en esta página. CRLF añade include: / logfile: / python-script:. #16637 es solo checkconf de General Settings.

ID	sin CVE todavía
Clase	RCE
Alcance	Remoto (WebGUI autenticado salvo que se indique lo contrario)
CWE	CWE-74
CVSS	Alto: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Producto	pfSense CE
Afectado	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
Auth	Sesión WebGUI con page-services-dnsresolver-advanced
Licencia	GNU Affero GPL v3.0
Lab	solo 127.0.0.1

Fijé el master público 9363ac5. El lab es un gadget PHP del sink fijado, HTTP en loopback sobre 127.0.0.1:19050.

Write-up de la serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Qué puede hacer un atacante

Método	Sink	Privilegio
POST services_unbound_advanced.php sock_queue_timeout	unbound.inc sock-queue-timeout: {$sock_queue_timeout}	Integridad: Probado en lab: include: extra en la conf generada; el stub de unbound siguió el include y volcó el testigo plantado.
mismo leftover	mismo sink	Recon: Probado en lab: el parseo de Unbound lee el archivo host incluido.
mismo leftover	mismo sink	Disponibilidad: Inferido: una conf envenenada puede hacer fallar el arranque del resolver.

Requiere: page-services-dnsresolver-advanced. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.

Requiere: page-services-dnsresolver-advanced. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.

Superficie adyacente que permanece cerrada

El textarea custom_options documentado es un leftover aparte. El checkconf de General Settings no cubre este campo.

No hay Diagnostics: Command a menos que esa página también esté concedida.

Lab

cd lab
./run.sh

Loopback 127.0.0.1:19050. Proyecto Compose pfsense-unbound-sock-timeout. Testigo PFSENSE-UNBOUND-SOCK-TIMEOUT-WITNESS. Solo loopback: 127.0.0.1:19050. Proyecto Compose pfsense-unbound-sock-timeout. Testigo PFSENSE-UNBOUND-SOCK-TIMEOUT-WITNESS. Gadget PHP de las líneas fijadas. El stack se desmonta tras la ejecución.

Última línea:

SUCCESS PFSENSE-UNBOUND-SOCK-TIMEOUT control-one-timeout=yes control-checkconf-pass=yes trigger-include=yes trigger-dump-witness=yes advanced-no-checkconf=yes PFSENSE-UNBOUND-SOCK-TIMEOUT-WITNESS

Corrección

is_numericint sock_queue_timeout. Ejecutar test_unbound_config al guardar en Advanced.

Referencias

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-74
• Serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers