abraxas/pfsense-unbound-acl-crlfpfSense CE 2.9.0-DEVELOPMENT - उच्च - रिमोट - RCE - Unbound ACL CRLF include
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-unbound-acl-crlf
वर्ग: RCE पहुँच: रिमोट
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
ACL नाम/क्रिया बिना किसी checkconf के access_lists.conf में चले जाते हैं। वही include: वर्ग जो sock-queue-timeout का है, भिन्न typed फ़ील्ड।
| ID | अभी तक कोई CVE नहीं |
| वर्ग | RCE |
| पहुँच | रिमोट (प्रमाणित WebGUI जब तक अन्यथा न कहा गया हो) |
| CWE | CWE-74 |
| CVSS | उच्च: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| उत्पाद | pfSense CE |
| प्रभावित | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| प्रमाणीकरण | page-services-dnsresolver-acls के साथ WebGUI सत्र |
| लाइसेंस | GNU Affero GPL v3.0 |
| लैब | केवल 127.0.0.1 |
मैंने सार्वजनिक master 9363ac5 को पिन किया। लैब पिन किए गए sink का एक PHP gadget है, 127.0.0.1:19060 पर लूपबैक HTTP।
श्रृंखला लेख: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| विधि | Sink | विशेषाधिकार |
|---|---|---|
| POST services_unbound_acls.php aclname / aclaction | unbound_acls_config access_lists.conf | अखंडता: लैब-प्रमाणित: नाम या क्रिया में CRLF include:; stub unbound ने रोपित witness को डंप किया। |
| वही leftover | वही sink | पुनरावलोकन: लैब-प्रमाणित: शामिल host फ़ाइल का बॉडी लौटाया गया। |
| वही leftover | वही sink | उपलब्धता: अनुमानित: resolver प्रारंभ विफल करें। |
आवश्यक: page-services-dnsresolver-acls। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM root है।
आवश्यक: page-services-dnsresolver-acls। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM root है। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM root है।
network/mask is_ipaddr। descr interpolated नहीं है। #16637 ACLs का उल्लेख नहीं करता।
कोई Diagnostics: Command नहीं जब तक वह पृष्ठ भी अनुदत्त न हो।
cd lab
./run.sh
लूपबैक 127.0.0.1:19060। Compose प्रोजेक्ट pfsense-unbound-acl-crlf। Witness PFSENSE-UNBOUND-ACL-CRLF-WITNESS। केवल लूपबैक: 127.0.0.1:19060। Compose प्रोजेक्ट pfsense-unbound-acl-crlf। Witness PFSENSE-UNBOUND-ACL-CRLF-WITNESS। पिन की गई पंक्तियों का PHP gadget। रन के बाद स्टैक टूट जाता है।
अंतिम पंक्ति:
SUCCESS PFSENSE-UNBOUND-ACL-CRLF control-one-stanza=yes trigger-name-include=yes trigger-action-include=yes checkconf-on-acl-save=no PFSENSE-UNBOUND-ACL-CRLF-WITNESS
ACL नाम/क्रिया की charset-जाँच करें। ACL सहेजने पर test_unbound_config।
9363ac5b8651a1c7a333180425ce7719070f95f9