fabdotnet/cve-2023-27100Exploit per CVE-2023-27100 che bypassa la protezione anti-forza bruta di pfSense tramite header X-Forwarded-For modificati e token anti-CSRF per eludere il blocco IP di sshguard.
Il sistema di autenticazione cerca di essere informativo e stampa informazioni aggiuntive insieme agli indirizzi IP per identificare completamente la provenienza di un utente quando accede tramite la GUI. Questo include la sorgente di autenticazione (ad es. database locale, LDAP o RADIUS, nome del server di autenticazione), oltre ai contenuti degli header proxy X-Forwarded-For e Client-IP per chiarire ulteriormente l'esatta posizione dell'utente.
Queste informazioni aggiuntive vengono stampate dopo l'indirizzo IP dell'utente remoto in vari punti, inclusi i messaggi di log per l'autenticazione. In caso di errori di accesso alla GUI, le voci di log includevano i contenuti degli header proxy (X-Forwarded-For o Client-IP) inviati dal client.
Queste informazioni aggiuntive hanno confuso il parser dei log di autenticazione di sshguard, impedendogli di riconoscere l'indirizzo IP del client nei messaggi di errore di autenticazione.
pfSense (vedi le versioni interessate sopra) è vulnerabile a un bypass del meccanismo anti-forza bruta implementato per bloccare gli utenti che hanno raggiunto il limite di autenticazioni fallite. Il codice disponibile in questo repository facilita lo sfruttamento di questa vulnerabilità utilizzando l'header "X-Forwarded-For" e il token "anti-csrf".
Avviso di sicurezza Netgate : https://docs.netgate.com/downloads/pfSense-SA-23_05.sshguard.asc
Ticket Redmine associato di Netgate : https://redmine.pfsense.org/issues/13574
