abraxas/pfsense-rules-if-xsspfSense CE 2.9.0-DEVELOPMENT - Moyen - À distance - XSS - firewall_rules GET if
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-rules-if-xss
Classe : XSS Portée : Distante
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
firewall_rules.php GET if= est interpolé dans value="" et iface = "" lorsque requirefirewallinterface est activé. Un if inconnu est remplacé par lan lorsque require est désactivé.
| ID | pas encore de CVE |
| Classe | XSS |
| Portée | Distante (WebGUI authentifié sauf indication contraire) |
| CWE | CWE-79 |
| CVSS | Moyen : 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Produit | pfSense CE |
| Affecté | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Auth | Session WebGUI avec page-firewall-rules |
| Licence | GNU Affero GPL v3.0 |
| Lab | 127.0.0.1 uniquement |
J'ai épinglé le master public 9363ac5. Le lab est un gadget PHP du sink épinglé, HTTP en loopback sur 127.0.0.1:19140.
Article de la série : https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Méthode | Sink | Privilège |
|---|---|---|
| GET firewall_rules.php?if= | value="" et JS iface = "" | Intégrité : Prouvé en lab : sortie de guillemet brute dans l'attribut caché et la chaîne JS. |
| même vestige | même sink | Recon : Déduit : csrf-magic de la victime / GUI de même origine. Cookie httponly SameSite=Strict. |
| même vestige | même sink | Disponibilité : Aucune démontrée. |
Nécessite : page-firewall-rules. CSRF-magic sur POST sauf indication contraire. Le PHP-FPM du WebGUI est root.
Nécessite : page-firewall-rules. CSRF-magic sur POST sauf indication contraire. Le PHP-FPM du WebGUI est root. CSRF-magic sur POST sauf indication contraire. Le PHP-FPM du WebGUI est root.
Les autres hrefs $if et Location utilisent htmlspecialchars. require-off remplace un if inconnu. Non authentifié : N/A.
Pas de Diagnostics : Command sauf si cette page est également accordée.
cd lab
./run.sh
Loopback 127.0.0.1:19140. Projet Compose pfsense-rules-if-xss. Témoin PFSENSE-RULES-IF-XSS-WITNESS. Loopback uniquement : 127.0.0.1:19140. Projet Compose pfsense-rules-if-xss. Témoin PFSENSE-RULES-IF-XSS-WITNESS. Gadget PHP des lignes épinglées. La stack est démontée après l'exécution.
Dernière ligne :
SUCCESS PFSENSE-RULES-IF-XSS control-inert=yes trigger-attr=yes trigger-js=yes PFSENSE-RULES-IF-XSS-WITNESS
htmlspecialchars($if, ENT_QUOTES) dans les deux sinks. Liste d'autorisation de if par rapport aux interfaces configurées.
9363ac5b8651a1c7a333180425ce7719070f95f9