abraxas/pfsense-cp-maxprocperippfSense CE 2.9.0-DEVELOPMENT - उच्च - रिमोट - कॉन्फ़िग इंजेक्शन - CP maxprocperip nginx
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-cp-maxprocperip
वर्ग: कॉन्फ़िग इंजेक्शन पहुँच: रिमोट
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
पूर्णांक जाँच अप्रयुक्त POST maxproc पर है। maxprocperip कच्चा संग्रहीत होता है और server{} के अंदर limit_conn addr $maxprocperip; के रूप में उत्सर्जित होता है। अतिरिक्त location/alias स्वीकार किया जाता है।
| ID | अभी तक कोई CVE नहीं |
| वर्ग | कॉन्फ़िग इंजेक्शन |
| पहुँच | रिमोट (प्रमाणित WebGUI जब तक अन्यथा न कहा गया हो) |
| CWE | CWE-94 |
| CVSS | उच्च: 7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L |
| उत्पाद | pfSense CE |
| प्रभावित | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| प्रमाणीकरण | WebGUI सत्र जिसमें plant with page-services-captiveportal; then unauth on the portal listener हो |
| लाइसेंस | GNU Affero GPL v3.0 |
| लैब | केवल 127.0.0.1 |
मैंने सार्वजनिक मास्टर 9363ac5 को पिन किया। लैब पिन किए गए सिंक का एक PHP गैजेट है, 127.0.0.1:19120 पर लूपबैक HTTP।
श्रृंखला लेख: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| विधि | सिंक | विशेषाधिकार |
|---|---|---|
| POST services_captiveportal.php maxprocperip, फिर unauth GET portal vhost | system_generate_nginx_config limit_conn addr $maxprocperip; | अखंडता: लैब-प्रमाणित: CP server{} के अंदर अतिरिक्त location /p { alias /oracle/; }। nginx -t पास हुआ। |
| वही अवशेष | वही सिंक | पुनरावलोकन: लैब-प्रमाणित: उस location का unauth GET पोर्टल vhost पर रखी गई फ़ाइल लौटाया, GUI नहीं। होस्ट RCE नहीं दिखाया गया। |
| वही अवशेष | वही सिंक | उपलब्धता: अनुमानित: अमान्य nginx उस ज़ोन को शुरू करने में विफल रहता है। |
आवश्यक: plant with page-services-captiveportal; then unauth on the portal listener। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM रूट है।
आवश्यक: plant with page-services-captiveportal; then unauth on the portal listener। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM रूट है। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM रूट है।
GUI nginx (captive_portal=false)। Unauth plant। होस्ट RCE।
कोई Diagnostics: Command नहीं जब तक वह पृष्ठ भी अनुदत्त न हो।
cd lab
./run.sh
लूपबैक 127.0.0.1:19120। Compose प्रोजेक्ट pfsense-cp-maxprocperip। साक्षी PFSENSE-CP-MAXPROCPERIP-WITNESS। केवल लूपबैक: 127.0.0.1:19120। Compose प्रोजेक्ट pfsense-cp-maxprocperip। साक्षी PFSENSE-CP-MAXPROCPERIP-WITNESS। पिन की गई पंक्तियों का PHP गैजेट। रन के बाद स्टैक टूट जाता है।
अंतिम पंक्ति:
SUCCESS PFSENSE-CP-MAXPROCPERIP control-limit-conn=yes nginx-t-control=yes trigger-inject=yes nginx-t-trigger=yes host-read=yes fail-to-start=no PFSENSE-CP-MAXPROCPERIP-WITNESS
is_numericint maxprocperip। ब्रेसिज़/सेमीकोलन अस्वीकार करें।
9363ac5b8651a1c7a333180425ce7719070f95f9