abraxas/pfsense-rules-if-xsspfSense CE 2.9.0-DEVELOPMENT - Media - Remoto - XSS - firewall_rules GET if
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-rules-if-xss
Classe: XSS Portata: Remota
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
firewall_rules.php GET if= viene interpolato in value="" e iface = "" quando requirefirewallinterface è attivo. Un if sconosciuto viene sostituito con lan quando require è disattivato.
| ID | nessuna CVE al momento |
| Classe | XSS |
| Portata | Remota (WebGUI autenticata salvo diversa indicazione) |
| CWE | CWE-79 |
| CVSS | Medio: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Prodotto | pfSense CE |
| Affetto | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Auth | Sessione WebGUI con page-firewall-rules |
| Licenza | GNU Affero GPL v3.0 |
| Lab | solo 127.0.0.1 |
Ho fissato il master pubblico 9363ac5. Il lab è un gadget PHP del sink fissato, HTTP su loopback su 127.0.0.1:19140.
Write-up della serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Metodo | Sink | Privilegio |
|---|---|---|
| GET firewall_rules.php?if= | value="" e JS iface = "" | Integrità: Dimostrato in lab: rottura delle virgolette grezza nell'attributo nascosto e nella stringa JS. |
| stesso residuo | stesso sink | Ricognizione: Dedotto: csrf-magic della vittima / GUI same-origin. Cookie httponly SameSite=Strict. |
| stesso residuo | stesso sink | Disponibilità: Nessuna dimostrata. |
Richiede: page-firewall-rules. CSRF-magic su POST salvo diversa indicazione. WebGUI PHP-FPM è root.
Richiede: page-firewall-rules. CSRF-magic su POST salvo diversa indicazione. WebGUI PHP-FPM è root. CSRF-magic su POST salvo diversa indicazione. WebGUI PHP-FPM è root.
Altri href di $if e Location usano htmlspecialchars. require-off sostituisce if sconosciuto. Non autenticato N/A.
Nessun Diagnostics: Command a meno che anche quella pagina sia concessa.
cd lab
./run.sh
Loopback 127.0.0.1:19140. Progetto Compose pfsense-rules-if-xss. Witness PFSENSE-RULES-IF-XSS-WITNESS. Solo loopback: 127.0.0.1:19140. Progetto Compose pfsense-rules-if-xss. Witness PFSENSE-RULES-IF-XSS-WITNESS. Gadget PHP delle righe fissate. Lo stack viene smontato dopo l'esecuzione.
Ultima riga:
SUCCESS PFSENSE-RULES-IF-XSS control-inert=yes trigger-attr=yes trigger-js=yes PFSENSE-RULES-IF-XSS-WITNESS
htmlspecialchars($if, ENT_QUOTES) in entrambi i sink. Allowlist di if rispetto alle interfacce configurate.
9363ac5b8651a1c7a333180425ce7719070f95f9