abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-api-example-ssl-verify

pfsense-api-example-ssl-verify

Classe : Reliquat de privilège Portée : Distante

pfSense Plus MIM API (Netgate/pfsense-api b4acd7ca) - Netgate

Les Client / AuthenticatedClient générés définissent verify_ssl=True par défaut et le transmettent à httpx. La documentation qualifie déjà verify_ssl=False de risque de sécurité et montre d'abord un chemin de bundle PEM. Chaque exemple Python officiel et helper_funcs.py les construisent toujours avec verify_ssl=False. example.js définit NODE_TLS_REJECT_UNAUTHORIZED=0, donc tout le processus Node ignore la vérification. Le JSON de connexion place le nom d'utilisateur et le mot de passe en base64. C'est le contrat OpenAPI, pas du chiffrement. TLS est la couche de confidentialité.

Un pair sur le chemin de :8443 présente n'importe quel certificat. L'exemple envoie quand même le POST /login. Le substitut capture la connexion admin en base64 et forge un JWT. Ce jeton est la chaîne : G4 export-key, G5 ACME dump, G6 fleet JWT, G7 ACB userkey, php/shell prévu, et le JSON que G1 interpole dans SSH.

Ceci est la Partie 9 de pfSense Plus MIM API toolkit. Lisez d'abord ce reliquat même s'il est Medium. Le JWT volé est ce qui rend le reste accessible depuis un poste de travail ayant copié example.py.

ID	pas encore de CVE
Classe	Reliquat de privilège (vérification TLS désactivée dans l'exemple)
Portée	Distante (sur le chemin de :8443)
CWE	CWE-295
CVSS	Moyen : 6.8 CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
Produit	Netgate/pfsense-api (client Plus Nexus MIM ; pas le paquet REST CE)
Affecté	main public b4acd7ca21dbca739a530403a1f62a7440f7726f (2026-05-25) exemples officiels et helper_funcs.py
Auth	l'opérateur copie et exécute un exemple contre le contrôleur ; aucun rôle contrôleur supplémentaire
Licence	GNU Affero GPL v3.0
Lab	127.0.0.1:19191 uniquement. Ne compose pas pfSense Plus.

AC:H est sur le chemin entre le poste de travail de l'opérateur et le contrôleur MIM. UI:R correspond à copier/exécuter l'exemple.

Ce qu'un attaquant peut faire

Victime : poste de travail de l'opérateur exécutant un exemple officiel ou helper_funcs.py contre https://controller:8443. Attaquant : sur le chemin de ce HTTPS (LAN, DHCP pirate, saut VPN compromis, ARP). Pas Internet-vers-pare-feu non authentifié.

Méthode	Sink	Privilège
Présenter n'importe quel certificat pendant que l'échantillon POSTe /login ou /api/login avec verify_ssl=False / NODE_TLS_REJECT_UNAUTHORIZED=0	httpx verify=False (échantillons Python) ou Node TLS reject-unauthorized 0	Confidentialité (prouvée en labo) : lire le JSON de login. Labo : le stand-in a capturé le base64 admin / lab-controller-secret (captured_b64_admin=yes). Le décodage se fait avec un simple base64 -d.
Même MITM, 200 LoginResponse	l'échantillon accepte n'importe quel certificat	Confidentialité (prouvée en labo) : voler le JWT d'accès. Labo : INJECT a obtenu un token portant PFSENSE-API-EXAMPLE-SSL-VERIFY-WITNESS.
Même MITM, Set-Cookie au login	l'échantillon copie client.get_httpx_client().cookies dans AuthenticatedClient	Confidentialité (cookie prouvé en labo, rejeu inféré) : JWT de refresh de 24 heures. Rejouer POST /login/refresh avec ce cookie plus le nom d'utilisateur en base64 jusqu'à l'expiration du TTL de refresh. Labo : a capturé Set-Cookie: refresh=.... Le refresh contre un contrôleur réel n'a pas été exécuté.
Rejouer le Bearer volé vers le vrai contrôleur (si l'attaquant peut aussi y router)	Plus MIM /api et /api/device/pfsense/{device_id}/api	Intégrité (inférée) : équivalent admin en tant qu'utilisateur connecté sur cette API. Le schéma inclut POST /diag/cmd/php, POST /diag/cmd/shell, POST /diag/editfile, POST /diag/backup/restore, POST /diag/control halt/reboot. Non exercé ici. Ce labo est un stand-in de contrôleur, pas Plus.
Rejouer le Bearer volé en tant que leftover 6 (token de flotte)	un seul JWT POST /login réutilisé pour chaque device_id	Intégrité (inférée) : parler au firewall B après s'être authentifié en tant qu'utilisateur destiné au firewall A. LoginResponse n'a pas de liste d'autorisation par appareil. Pack : pfsense-api-fleet-jwt. RBAC de Plus non exécuté.
Rejouer le Bearer volé en tant que leftover 4	GET /system/certauth/{refid}/export-key, GET /system/certificates/{refid}/export-key, GET /system/certificates/{refid}/export-p12	Confidentialité (inférée) : extraire les clés privées de la CA et des feuilles, PKCS12 documenté sans protection par mot de passe, puis usurper l'identité VPN / WebGUI TLS / IPsec. Pack : pfsense-api-export-key-get.
Rejouer le Bearer volé en tant que leftover 5	GET /services/acme	Confidentialité (inférée) : voler la clé de compte Let's Encrypt et les clés des certificats émis pour chaque nom d'hôte enrôlé par le firewall. Pack : pfsense-api-acme-key-dump.
Rejouer le Bearer volé, ou fuiter userkey depuis un échantillon qui GET ACB, en tant que leftover 7	GET /services/acb?userkey= et GET /services/acb/bkp?userkey=	Confidentialité (inférée) : lister et récupérer les blobs Auto Config Backup (configuration complète). Pack : pfsense-api-acb-userkey.
Façonner le JSON ControllerSummary vers leftover 1	MITM du HTTPS verify_ssl=False fournit le JSON que example-add-devices.py échappe entre guillemets puis .format dans SSH	Intégrité (inférée) : $() / backticks / retours à la ligne dans un champ du contrôleur s'exécutent en tant que SSHUSER sur chaque adresse dans pfsense_addresses. Pack : pfsense-api-enroll-json-ssh.
Injecter des réponses vers le client	skip-verify accepte n'importe quel certificat	Intégrité (token prouvé en labo, flotte inférée) : forger un JWT que l'échantillon conservera. Labo : token INJECT avec le witness. Fausses listes d'appareils / progression de mise à jour / succès de login contre un échantillon réel relèvent de la même barrière.
POST /diag/control, POST firmware, restauration d'une sauvegarde corrompue (après Bearer volé)	surface admin prévue une fois TLS disparu	Disponibilité (inférée) : halt / reboot / image corrompue. Même Bearer. Non testé en labo.