Skip to content
KitploitKITPLOIT
OutilsExploitsBlog
Log in
Soumettre
OutilsExploitsBlog
Soumettre

Outils de Hacking, PenTest et Cybersécurité pour votre Arsenal de Sécurité !

Kitploit est un répertoire d'outils de hacking, de cybersécurité et de pentesting. Découvrez les dernières mises à jour des projets pour trouver des vulnérabilités, analyser des systèmes, automatiser les tests et renforcer votre sécurité.

FluxContactConfidentialité© 2026 Kitploit

Répertoire d'outils

Catégories

Voir toutes les catégories
Loading categories
pfsense-wizard-uid0 — pfSense CE 2.9.0-DEVELOPMENT - Élevé - À distance - Reliquat de privilèges - assistant uid 0 | Kitploit
Outils/GitHubGitHub/abraxas/pfsense-wizard-uid0
Escalade de PrivilègesAnalyse des VulnérabilitésExploitationExploitation d'Applications WebSécurité WebTests d'IntrusionLabs et Pratique
GitHubabraxas/pfsense-wizard-uid0

pfsense-wizard-uid0

pfSense CE 2.9.0-DEVELOPMENT - Élevé - À distance - Reliquat de privilèges - assistant uid 0

Voir le dépôt
1il y a 4 joursPas encore vérifié

Populaires

Voir tout →

Découvrez les outils les plus utilisés par notre communauté.

Explorer tous les outils

Parcourez notre collection d'outils

Voir tous les outils →
Partager

Abraxas Labs - pfsense-wizard-uid0

abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-wizard-uid0

pfsense-wizard-uid0

Classe : Privilège résiduel Portée : Distante

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

wizard.php?xml=setup_wizard.xml étape 7 getUserEntryByUID(0) plus local_user_set_password(). Le privilège MATCH wizard.php* n'a pas de warn-root. xml= est préfixé par realpath sous /usr/local/www/wizards.

IDpas encore de CVE
ClassePrivilège résiduel
PortéeDistante (WebGUI authentifié sauf indication contraire)
CWECWE-269
CVSSÉlevé : 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
ProduitpfSense CE
Affecté2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
AuthSession WebGUI avec page-pfsensewizardsubsystem
LicenceGNU Affero GPL v3.0
Lab127.0.0.1 uniquement

J'ai épinglé le master public 9363ac5. Le lab est un gadget PHP du sink épinglé, HTTP en loopback sur 127.0.0.1:19020.

Article de la série : https://abraxaslabs.tech/research/pfsense-ce-leftovers

Ce qu'un attaquant peut faire

MéthodeSinkPrivilège
POST wizard.php?xml=setup_wizard.xml étape 7getUserEntryByUID(0) local_user_set_passwordIntégrité : Prouvé en lab : l'étape 7 a réécrit le hash bcrypt de l'uid 0. LFI via xml= fermée (../etc/passwd et chemin absolu rejetés).
même résidumême sinkReconnaissance : Déduit : le même wizard réécrit WAN/LAN/DHCP/hostname.
même résidumême sinkDisponibilité : Déduit : verrouiller l'opérateur hors du LAN.

Nécessite : page-pfsensewizardsubsystem. CSRF-magic sur POST sauf indication contraire. Le WebGUI PHP-FPM est root.

Nécessite : page-pfsensewizardsubsystem. CSRF-magic sur POST sauf indication contraire. Le WebGUI PHP-FPM est root. CSRF-magic sur POST sauf indication contraire. Le WebGUI PHP-FPM est root.

Surface adjacente qui reste fermée

Préfixe realpath de xml= LFI. page-system-usermanager est warn-root pour la même classe.

Pas de Diagnostics : Command sauf si cette page est également accordée.

Lab

cd lab
./run.sh

Loopback 127.0.0.1:19020. Projet Compose pfsense-wizard-uid0. Témoin PFSENSE-WIZARD-UID0-WITNESS. Loopback uniquement : 127.0.0.1:19020. Projet Compose pfsense-wizard-uid0. Témoin PFSENSE-WIZARD-UID0-WITNESS. Gadget PHP des lignes épinglées. La stack est démontée après l'exécution.

Dernière ligne :

SUCCESS PFSENSE-WIZARD-UID0 lfi-closed=yes control-no-hash-change=yes trigger-uid0-hash-change=yes wizard-no-warn-root=yes usermanager-warn-root=yes PFSENSE-WIZARD-UID0-WITNESS

Correctif

Marquer wizard.php standard-warning-root, ou supprimer le mot de passe de l'uid 0 du wizard de configuration après le premier démarrage.

Références

  • github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
  • CWE-269
  • Série : https://abraxaslabs.tech/research/pfsense-ce-leftovers
Télécharger l’outil