abraxas/pfsense-dhcpd-confpfSense CE 2.9.0-DEVELOPMENT - मध्यम - रिमोट - कॉन्फ़िग इंजेक्शन - ISC dhcpd फ़ाइलनाम
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-dhcpd-conf
वर्ग: कॉन्फ़िग इंजेक्शन पहुँच: रिमोट
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
services_dhcpdv4_configure filename "{$sm['filename']}"; को इंटरपोलेट करता है, बिना किसी addslashes के। GUI $_POST['filename'] को बिना किसी quote/newline गेट के संग्रहीत करता है। Kea JSON SA-26_20 स्किप है।
| ID | अभी तक कोई CVE नहीं |
| वर्ग | कॉन्फ़िग इंजेक्शन |
| पहुँच | रिमोट (प्रमाणित WebGUI जब तक अन्यथा न कहा गया हो) |
| CWE | CWE-74 |
| CVSS | मध्यम: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
| उत्पाद | pfSense CE |
| प्रभावित | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| प्रमाणीकरण | page-services-dhcpserver-editstaticmapping के साथ WebGUI सत्र |
| लाइसेंस | GNU Affero GPL v3.0 |
| लैब | केवल 127.0.0.1 |
मैंने सार्वजनिक मास्टर 9363ac5 को पिन किया। लैब पिन किए गए सिंक का एक PHP गैजेट है, जो 127.0.0.1:19250 पर लूपबैक HTTP का उपयोग करता है।
श्रृंखला लेख: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| विधि | सिंक | विशेषाधिकार |
|---|---|---|
| POST services_dhcp_edit.php filename | filename "{$sm['filename']}"; | अखंडता: लैब-प्रमाणित: chroot कॉन्फ़िग में अतिरिक्त विकल्प tftp-server-name। Filename कभी argv तक नहीं पहुँचा। |
| वही अवशेष | वही सिंक | पुनरावलोकन: कुछ नहीं दिखाया गया। |
| वही अवशेष | वही सिंक | उपलब्धता: अनुमानित: parse-fail dhcpd या अतिरिक्त PXE विकल्प। |
आवश्यक: page-services-dhcpserver-editstaticmapping। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM रूट है।
आवश्यक: page-services-dhcpserver-editstaticmapping। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM रूट है। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM रूट है।
होस्ट शेल। chroot के बाहर की फ़ाइलें। Kea JSON। hostname charset। numberoptions टेक्स्ट कोट्स।
कोई Diagnostics: Command नहीं, जब तक वह पेज भी अनुदानित न हो।
cd lab
./run.sh
लूपबैक 127.0.0.1:19250। Compose प्रोजेक्ट pfsense-dhcpd-conf। साक्षी PFSENSE-DHCPD-CONF-WITNESS। केवल लूपबैक: 127.0.0.1:19250। Compose प्रोजेक्ट pfsense-dhcpd-conf। साक्षी PFSENSE-DHCPD-CONF-WITNESS। पिन की गई पंक्तियों का PHP गैजेट। रन के बाद स्टैक टूट जाता है।
अंतिम पंक्ति:
SUCCESS PFSENSE-DHCPD-CONF control-one-filename=yes trigger-extra-statement=yes PFSENSE-DHCPD-CONF-WITNESS
filename/rootpath/ldap/DUID में addslashes / quote और newline को अस्वीकार करें।
9363ac5b8651a1c7a333180425ce7719070f95f9