abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-config-readonly-restore

pfsense-config-readonly-restore

Classe : Privilège résiduel Portée : Distante

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

write_config respecte user-config-readonly. config_install et config_restore remplacent config.xml sans cette vérification.

ID	pas encore de CVE
Classe	Privilège résiduel
Portée	Distante (WebGUI authentifiée sauf indication contraire)
CWE	CWE-863
CVSS	Élevé : 7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L
Produit	pfSense CE
Affecté	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
Auth	Session WebGUI avec une page pouvant appeler config_install / config_restore alors que Deny Config Write est activé
Licence	GNU Affero GPL v3.0
Lab	127.0.0.1 uniquement

J'ai épinglé le master public 9363ac5. Le lab est un gadget PHP du sink épinglé, HTTP en loopback sur 127.0.0.1:19200.

Article de la série : https://abraxaslabs.tech/research/pfsense-ce-leftovers

Ce qu'un attaquant peut faire

Méthode	Sink	Privilège
config_install / config_restore en tant qu'utilisateur Deny Config Write	config_install copie sur config.xml	Intégrité : Prouvé en lab : write_config refusé ; config_install et config_restore ont tout de même remplacé config.xml.
même privilège résiduel	même sink	Recon : Aucun démontré.
même privilège résiduel	même sink	Disponibilité : Déduit : une configuration injectée peut redémarrer / verrouiller l'accès.

Nécessite : une page pouvant appeler config_install / config_restore alors que Deny Config Write est activé. CSRF-magic sur POST sauf indication contraire. Le PHP-FPM de la WebGUI est root.

Nécessite : une page pouvant appeler config_install / config_restore alors que Deny Config Write est activé. CSRF-magic sur POST sauf indication contraire. Le PHP-FPM de la WebGUI est root. CSRF-magic sur POST sauf indication contraire. Le PHP-FPM de la WebGUI est root.

Surface adjacente qui reste fermée

Les écritures de configuration normales restent refusées.

Pas de Diagnostics : Command sauf si cette page est également accordée.

Lab

cd lab
./run.sh

Loopback 127.0.0.1:19200. Projet Compose pfsense-config-readonly-restore. Témoin PFSENSE-CONFIG-READONLY-RESTORE-WITNESS. Loopback uniquement : 127.0.0.1:19200. Projet Compose pfsense-config-readonly-restore. Témoin PFSENSE-CONFIG-READONLY-RESTORE-WITNESS. Gadget PHP des lignes épinglées. La stack est démontée après l'exécution.

Dernière ligne :

SUCCESS PFSENSE-CONFIG-READONLY-RESTORE write-denied=yes install-replace=yes restore-replace=yes PFSENSE-CONFIG-READONLY-RESTORE-WITNESS

Correctif

Respecter user-config-readonly dans config_install et config_restore.

Références

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-863
• Série : https://abraxaslabs.tech/research/pfsense-ce-leftovers