abraxas/pfsense-wizard-uid0pfSense CE 2.9.0-DEVELOPMENT - उच्च - रिमोट - विशेषाधिकार अवशेष - wizard uid 0
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-wizard-uid0
वर्ग: विशेषाधिकार अवशेष पहुँच: रिमोट
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
wizard.php?xml=setup_wizard.xml चरण 7 getUserEntryByUID(0) तथा local_user_set_password()। विशेषाधिकार MATCH wizard.php* में warn-root नहीं है। xml= को /usr/local/www/wizards के अंतर्गत realpath-उपसर्गित किया गया है।
| ID | अभी तक कोई CVE नहीं |
| वर्ग | विशेषाधिकार अवशेष |
| पहुँच | रिमोट (प्रमाणित WebGUI जब तक अन्यथा न कहा गया हो) |
| CWE | CWE-269 |
| CVSS | उच्च: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| उत्पाद | pfSense CE |
| प्रभावित | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| प्रमाणीकरण | page-pfsensewizardsubsystem के साथ WebGUI सत्र |
| लाइसेंस | GNU Affero GPL v3.0 |
| लैब | केवल 127.0.0.1 |
मैंने सार्वजनिक मास्टर 9363ac5 को पिन किया। लैब पिन किए गए सिंक का एक PHP गैजेट है, 127.0.0.1:19020 पर लूपबैक HTTP।
श्रृंखला लेख: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| विधि | सिंक | विशेषाधिकार |
|---|---|---|
| POST wizard.php?xml=setup_wizard.xml चरण 7 | getUserEntryByUID(0) local_user_set_password | अखंडता: लैब-प्रमाणित: चरण 7 ने uid 0 bcrypt हैश को फिर से लिखा। xml= LFI बंद (../etc/passwd और निरपेक्ष पथ अस्वीकृत)। |
| वही अवशेष | वही सिंक | पुनरावलोकन: अनुमानित: वही विज़ार्ड WAN/LAN/DHCP/hostname को फिर से लिखता है। |
| वही अवशेष | वही सिंक | उपलब्धता: अनुमानित: ऑपरेटर को LAN से लॉक आउट करें। |
आवश्यक: page-pfsensewizardsubsystem। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM रूट है।
आवश्यक: page-pfsensewizardsubsystem। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM रूट है। POST पर CSRF-magic जब तक अन्यथा न कहा गया हो। WebGUI PHP-FPM रूट है।
xml= realpath उपसर्ग LFI। page-system-usermanager उसी वर्ग के लिए warn-root है।
कोई Diagnostics: Command नहीं जब तक वह पृष्ठ भी अनुदत्त न हो।
cd lab
./run.sh
लूपबैक 127.0.0.1:19020। Compose प्रोजेक्ट pfsense-wizard-uid0। साक्षी PFSENSE-WIZARD-UID0-WITNESS। केवल लूपबैक: 127.0.0.1:19020। Compose प्रोजेक्ट pfsense-wizard-uid0। साक्षी PFSENSE-WIZARD-UID0-WITNESS। पिन की गई पंक्तियों का PHP गैजेट। रन के बाद स्टैक टूट जाता है।
अंतिम पंक्ति:
SUCCESS PFSENSE-WIZARD-UID0 lfi-closed=yes control-no-hash-change=yes trigger-uid0-hash-change=yes wizard-no-warn-root=yes usermanager-warn-root=yes PFSENSE-WIZARD-UID0-WITNESS
wizard.php को standard-warning-root चिह्नित करें, या पहले बूट के बाद सेटअप विज़ार्ड से uid 0 पासवर्ड हटा दें।
9363ac5b8651a1c7a333180425ce7719070f95f9