Skip to content
KitploitKITPLOIT
HerramientasExploitsBlog
Log in
Enviar
HerramientasExploitsBlog
Enviar

¡Herramientas de Hacking, PenTest y Ciberseguridad para tu Arsenal de Seguridad!

Kitploit es un directorio de herramientas de hacking, ciberseguridad y pentesting. Descubre las últimas actualizaciones de proyectos para encontrar vulnerabilidades, analizar sistemas, automatizar pruebas y fortalecer tu seguridad.

FeedsContactoPrivacidad© 2026 Kitploit

Directorio de Herramientas

Categorías

Ver todas las categorías
Loading categories
pfsense-wizard-uid0 — pfSense CE 2.9.0-DEVELOPMENT - Alta - Remota - Privilegio residual - asistente uid 0 | Kitploit
Herramientas/GitHubGitHub/abraxas/pfsense-wizard-uid0
Escalada de PrivilegiosAnálisis de VulnerabilidadesExplotaciónExplotación de Aplicaciones WebSeguridad WebPruebas de PenetraciónLabs y Práctica
GitHubabraxas/pfsense-wizard-uid0

pfsense-wizard-uid0

pfSense CE 2.9.0-DEVELOPMENT - Alta - Remota - Privilegio residual - asistente uid 0

Ver Repositorio
1hace 5 díasAún no revisado

Más Populares

Ver todos →

Descubre las herramientas más usadas por nuestra comunidad.

Explora todas las herramientas

Explora nuestra colección de herramientas

Ver todas las herramientas →
Compartir

Abraxas Labs - pfsense-wizard-uid0

abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-wizard-uid0

pfsense-wizard-uid0

Clase: Privilegio residual Alcance: Remoto

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

wizard.php?xml=setup_wizard.xml paso 7 getUserEntryByUID(0) más local_user_set_password(). El privilegio MATCH wizard.php* no tiene warn-root. xml= lleva prefijo realpath bajo /usr/local/www/wizards.

IDaún sin CVE
ClasePrivilegio residual
AlcanceRemoto (WebGUI autenticada salvo que se indique lo contrario)
CWECWE-269
CVSSAlto: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
ProductopfSense CE
Afectado2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
AuthSesión WebGUI con page-pfsensewizardsubsystem
LicenciaGNU Affero GPL v3.0
Labsolo 127.0.0.1

Fijé el master público 9363ac5. El lab es un gadget PHP del sink fijado, HTTP en loopback sobre 127.0.0.1:19020.

Write-up de la serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Qué puede hacer un atacante

MétodoSinkPrivilegio
POST wizard.php?xml=setup_wizard.xml paso 7getUserEntryByUID(0) local_user_set_passwordIntegridad: Probado en lab: el paso 7 reescribió el hash bcrypt del uid 0. LFI de xml= cerrado (../etc/passwd y ruta absoluta rechazados).
mismo residualmismo sinkRecon: Inferido: el mismo wizard reescribe WAN/LAN/DHCP/hostname.
mismo residualmismo sinkDisponibilidad: Inferido: dejar al operador fuera de la LAN.

Requiere: page-pfsensewizardsubsystem. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.

Requiere: page-pfsensewizardsubsystem. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root. CSRF-magic en POST salvo que se indique lo contrario. WebGUI PHP-FPM es root.

Superficie adyacente que permanece cerrada

Prefijo realpath de xml= LFI. page-system-usermanager es warn-root para la misma clase.

No hay Diagnostics: Command a menos que esa página también esté concedida.

Lab

cd lab
./run.sh

Loopback 127.0.0.1:19020. Proyecto Compose pfsense-wizard-uid0. Testigo PFSENSE-WIZARD-UID0-WITNESS. Solo loopback: 127.0.0.1:19020. Proyecto Compose pfsense-wizard-uid0. Testigo PFSENSE-WIZARD-UID0-WITNESS. Gadget PHP de las líneas fijadas. El stack se desmonta tras la ejecución.

Última línea:

SUCCESS PFSENSE-WIZARD-UID0 lfi-closed=yes control-no-hash-change=yes trigger-uid0-hash-change=yes wizard-no-warn-root=yes usermanager-warn-root=yes PFSENSE-WIZARD-UID0-WITNESS

Corrección

Marcar wizard.php como standard-warning-root, o eliminar la contraseña de uid 0 del asistente de configuración tras el primer arranque.

Referencias

  • github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
  • CWE-269
  • Serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers
Descargar herramienta