Skip to content
KitploitKITPLOIT
StrumentiExploitsBlog
Log in
Invia
StrumentiExploitsBlog
Invia

Strumenti di Hacking, PenTest e Cybersecurity per il tuo Arsenale di Sicurezza!

Kitploit è una directory di strumenti di hacking, cybersecurity e pentesting. Scopri gli ultimi aggiornamenti dei progetti per trovare vulnerabilità, analizzare sistemi, automatizzare i test e rafforzare la tua sicurezza.

FeedContattoPrivacy© 2026 Kitploit

Directory degli strumenti

Categorie

Vedi tutte le categorie
Loading categories
pfsense-wizard-uid0 — pfSense CE 2.9.0-DEVELOPMENT - Alta - Remoto - Privilegio residuo - wizard uid 0 | Kitploit
Strumenti/GitHubGitHub/abraxas/pfsense-wizard-uid0
Escalation di PrivilegiAnalisi delle VulnerabilitàExploitSfruttamento di Applicazioni WebSicurezza WebPenetration TestingLab e Pratica
GitHubabraxas/pfsense-wizard-uid0

pfsense-wizard-uid0

pfSense CE 2.9.0-DEVELOPMENT - Alta - Remoto - Privilegio residuo - wizard uid 0

Vedi Repository
14 giorni faNon ancora revisionato

Più Popolari

Vedi tutti →

Scopri gli strumenti più utilizzati dalla nostra community.

Esplora tutti gli strumenti

Sfoglia la nostra collezione di strumenti

Vedi tutti gli strumenti →
Condividi

Abraxas Labs - pfsense-wizard-uid0

abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-wizard-uid0

pfsense-wizard-uid0

Classe: Privilegio residuo Portata: Remota

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

wizard.php?xml=setup_wizard.xml step 7 getUserEntryByUID(0) più local_user_set_password(). Il privilegio MATCH wizard.php* non ha warn-root. xml= è prefissato con realpath sotto /usr/local/www/wizards.

IDnessuna CVE al momento
ClassePrivilegio residuo
PortataRemota (WebGUI autenticata salvo diversa indicazione)
CWECWE-269
CVSSAlto: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
ProdottopfSense CE
Affetto2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
AuthSessione WebGUI con page-pfsensewizardsubsystem
LicenzaGNU Affero GPL v3.0
Labsolo 127.0.0.1

Ho fissato il master pubblico 9363ac5. Il lab è un gadget PHP del sink fissato, HTTP su loopback su 127.0.0.1:19020.

Write-up della serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Cosa può fare un attaccante

MetodoSinkPrivilegio
POST wizard.php?xml=setup_wizard.xml step 7getUserEntryByUID(0) local_user_set_passwordIntegrità: Provato in lab: lo step 7 ha riscritto l'hash bcrypt dell'uid 0. LFI su xml= chiusa (../etc/passwd e percorso assoluto rifiutati).
stesso residuostesso sinkRicognizione: Dedotto: lo stesso wizard riscrive WAN/LAN/DHCP/hostname.
stesso residuostesso sinkDisponibilità: Dedotto: bloccare l'operatore fuori dalla LAN.

Richiede: page-pfsensewizardsubsystem. CSRF-magic sul POST salvo diversa indicazione. WebGUI PHP-FPM è root.

Richiede: page-pfsensewizardsubsystem. CSRF-magic sul POST salvo diversa indicazione. WebGUI PHP-FPM è root. CSRF-magic sul POST salvo diversa indicazione. WebGUI PHP-FPM è root.

Superficie adiacente che resta chiusa

LFI con prefisso realpath su xml=. page-system-usermanager è warn-root per la stessa classe.

Nessun Diagnostics: Command a meno che anche quella pagina sia concessa.

Lab

cd lab
./run.sh

Loopback 127.0.0.1:19020. Progetto Compose pfsense-wizard-uid0. Witness PFSENSE-WIZARD-UID0-WITNESS. Solo loopback: 127.0.0.1:19020. Progetto Compose pfsense-wizard-uid0. Witness PFSENSE-WIZARD-UID0-WITNESS. Gadget PHP delle righe fissate. Lo stack viene smontato dopo l'esecuzione.

Ultima riga:

SUCCESS PFSENSE-WIZARD-UID0 lfi-closed=yes control-no-hash-change=yes trigger-uid0-hash-change=yes wizard-no-warn-root=yes usermanager-warn-root=yes PFSENSE-WIZARD-UID0-WITNESS

Correzione

Contrassegnare wizard.php come standard-warning-root, oppure rimuovere la password dell'uid 0 dal setup wizard dopo il primo avvio.

Riferimenti

  • github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
  • CWE-269
  • Serie: https://abraxaslabs.tech/research/pfsense-ce-leftovers
Scarica lo strumento