abraxas/pfsense-crash-reporter-xsspfSense CE 2.9.0-DEVELOPMENT - मध्यम - रिमोट - XSS - crash_reporter textarea
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-crash-reporter-xss
वर्ग: XSS पहुँच: रिमोट
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
/tmp/PHP_errors.log htmlspecialchars से गुज़रता है। /var/crash/* को file_get_contents द्वारा <?=$crash_reports?> में डाला जाता है, बिना किसी एन्कोडिंग के।
| ID | अभी तक कोई CVE नहीं |
| वर्ग | XSS |
| पहुँच | रिमोट (प्रमाणित WebGUI, जब तक अन्यथा उल्लेख न हो) |
| CWE | CWE-79 |
| CVSS | मध्यम: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| उत्पाद | pfSense CE |
| प्रभावित | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| प्रमाणीकरण | page-diagnostics-crash-reporter के साथ WebGUI सत्र |
| लाइसेंस | GNU Affero GPL v3.0 |
| लैब | केवल 127.0.0.1 |
मैंने सार्वजनिक मास्टर 9363ac5 को पिन किया। लैब पिन किए गए सिंक का एक PHP गैजेट है, जिसमें 127.0.0.1:19180 पर लूपबैक HTTP है।
श्रृंखला लेख: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| विधि | सिंक | विशेषाधिकार |
|---|---|---|
| क्रैश फ़ाइल में HTML होने के बाद crash_reporter.php पर GET | textarea> | अखंडता: लैब-प्रमाणित: क्रैश ब्लॉब |
| वही अवशेष | वही सिंक | पुनरावलोकन: अनुमानित: डंप से संग्रहीत XSS, उस GUI उपयोगकर्ता के रूप में जो क्रैश रिपोर्टर खोलता है। |
| वही अवशेष | वही सिंक | उपलब्धता: कोई नहीं दिखाया गया। |
आवश्यक: page-diagnostics-crash-reporter। POST पर CSRF-magic, जब तक अन्यथा उल्लेख न हो। WebGUI PHP-FPM रूट है।
आवश्यक: page-diagnostics-crash-reporter। POST पर CSRF-magic, जब तक अन्यथा उल्लेख न हो। WebGUI PHP-FPM रूट है। POST पर CSRF-magic, जब तक अन्यथा उल्लेख न हो। WebGUI PHP-FPM रूट है।
PHP त्रुटि लॉग htmlspecialchars।
कोई Diagnostics: Command नहीं, जब तक वह पृष्ठ भी अनुदानित न हो।
cd lab
./run.sh
लूपबैक 127.0.0.1:19180। Compose प्रोजेक्ट pfsense-crash-reporter-xss। साक्षी PFSENSE-CRASH-REPORTER-XSS-WITNESS। केवल लूपबैक: 127.0.0.1:19180। Compose प्रोजेक्ट pfsense-crash-reporter-xss। साक्षी PFSENSE-CRASH-REPORTER-XSS-WITNESS। पिन की गई पंक्तियों का PHP गैजेट। रन के बाद स्टैक टूट जाता है।
अंतिम पंक्ति:
SUCCESS PFSENSE-CRASH-REPORTER-XSS control-encoded=yes trigger-raw=yes PFSENSE-CRASH-REPORTER-XSS-WITNESS
textarea में क्रैश ब्लॉब्स को htmlspecialchars करें।
9363ac5b8651a1c7a333180425ce7719070f95f9