abraxas/pfsense-acb-restore-privpfSense CE 2.9.0-DEVELOPMENT - 高 - リモート - 権限の残留 - ACB リストア
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-acb-restore-priv
クラス: 権限の残留 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
newver はダウンロードし、保存された ACB パスワードで復号し、config_restore を実行する。オプションの userkey は別デバイスのバックアップセットである。ローカルのバックアップ/履歴ページは warn-root である。
| ID | CVE 未割り当て |
| クラス | 権限の残留 |
| 到達範囲 | リモート (注記がない限り認証済み WebGUI) |
| CWE | CWE-269 |
| CVSS | High: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | page-services-acb を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19040 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| メソッド | シンク | 権限 |
|---|---|---|
| GET/POST services_acb.php newver= | acb_backup_get / decrypt / config_restore | 完全性: ラボで実証済み: newver リストアは config.xml を仕込んだリビジョンで置き換えた。newver なしのリストアでは置き換わらなかった。 |
| 同じ残留 | 同じシンク | 偵察: 推測: 同じページで復号された ACB XML を閲覧/ダウンロードできる。userkey で別デバイスのセットを選択できる。 |
| 同じ残留 | 同じシンク | 可用性: 推測: リストア UI は再起動を提供し、仕込んだ設定で GUI をロックアウトできる。 |
必要条件: page-services-acb。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: page-services-acb。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
diag_backup.php / diag_confbak.php は warn-root。
そのページも付与されていない限り Diagnostics: Command はない。
cd lab
./run.sh
ループバック 127.0.0.1:19040。Compose プロジェクト pfsense-acb-restore-priv。ウィットネス PFSENSE-ACB-RESTORE-PRIV-WITNESS。ループバックのみ: 127.0.0.1:19040。Compose プロジェクト pfsense-acb-restore-priv。ウィットネス PFSENSE-ACB-RESTORE-PRIV-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-ACB-RESTORE-PRIV ident-no-warn-root=yes no-newver-no-restore=yes newver-restore=yes PFSENSE-ACB-RESTORE-PRIV-WITNESS
page-services-acb を standard-warning-root としてマークする。
9363ac5b8651a1c7a333180425ce7719070f95f9