abraxas/pfsense-cp-filename-xsspfSense CE 2.9.0-DEVELOPMENT - Media - Remoto - XSS - XSS memorizzato nel nome file CP
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-cp-filename-xss
Classe: XSS Portata: Remota
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
Il nome del file viene interpolato in / CSS url(...) nell'HTML di login predefinito senza alcuna codifica. L'origine del portale non è l'origine della GUI. SA-26_05 è il widget della GUI.
| ID | nessuna CVE al momento |
| Classe | XSS |
| Portata | Remota (WebGUI autenticata salvo diversa indicazione) |
| CWE | CWE-79 |
| CVSS | Medio: 6.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Prodotto | pfSense CE |
| Affetto | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Auth | Sessione WebGUI con plant with page-services-captiveportal-filemanager; victim is an unauth portal client |
| Licenza | GNU Affero GPL v3.0 |
| Lab | solo 127.0.0.1 |
Ho fissato il master pubblico 9363ac5. Il lab è un gadget PHP del sink fissato, HTTP su loopback su 127.0.0.1:19110.
Write-up della serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Metodo | Sink | Privilegio |
|---|---|---|
| POST del nome nel file-manager, poi GET non autenticato dell'HTML di login del portale | get_default_captive_portal_html img src={$logo_src} | Integrità: Dedotto: uno script sulla pagina di login del portale può leggere auth_user / auth_pass su quella pagina. |
| stesso residuo | stesso sink | Ricognizione: Dimostrato in laboratorio: onerror= grezzo più witness nell'HTML del portale non autenticato. La lista della GUI codificava lo stesso nome con htmlspecialchars. |
| stesso residuo | stesso sink | Disponibilità: Nessuna dimostrata. |
Richiede: plant with page-services-captiveportal-filemanager; victim is an unauth portal client. CSRF-magic sul POST salvo diversa indicazione. Il PHP-FPM della WebGUI è root.
Richiede: plant with page-services-captiveportal-filemanager; victim is an unauth portal client. CSRF-magic sul POST salvo diversa indicazione. Il PHP-FPM della WebGUI è root. CSRF-magic sul POST salvo diversa indicazione. Il PHP-FPM della WebGUI è root.
Cookie della GUI. Codifica della lista del file-manager. Widget SA-26_05.
Nessun Diagnostics: Command a meno che anche quella pagina sia concessa.
cd lab
./run.sh
Loopback 127.0.0.1:19110. Progetto Compose pfsense-cp-filename-xss. Witness PFSENSE-CP-FILENAME-XSS-WITNESS. Solo loopback: 127.0.0.1:19110. Progetto Compose pfsense-cp-filename-xss. Witness PFSENSE-CP-FILENAME-XSS-WITNESS. Gadget PHP delle righe fissate. Lo stack viene smontato dopo l'esecuzione.
Ultima riga:
SUCCESS PFSENSE-CP-FILENAME-XSS control-inert=yes trigger-raw=yes witness-unescaped=yes gui-cookie-theft=no PFSENSE-CP-FILENAME-XSS-WITNESS
Applicare htmlspecialchars al nome del file nell'HTML del portale. Limitare il charset di upload.
9363ac5b8651a1c7a333180425ce7719070f95f9