abraxas/pfsense-auth-username-xsspfSense CE 2.9.0-DEVELOPMENT - 中 - リモート - XSS - head.inc 内の LDAP ユーザー名
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-auth-username-xss
クラス: XSS 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
head.inc のログアウトタイトルが $_SESSION['Username'] を生のまま補間している。passwordmg の Form_StaticText も同様に生のまま。ローカル文字セットはトリガーを拒否するが、LDAP 名はそれを回避する。
| ID | CVE 未割当 |
| クラス | XSS |
| 到達範囲 | リモート (特に断りのない限り認証済み WebGUI) |
| CWE | CWE-79 |
| CVSS | Medium: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | LDAP/RADIUS WebGUI session を用いた WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19170 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 権限 |
|---|---|---|
| クォートを破壊するユーザー名での LDAP ログイン | head.inc のログアウトタイトル="Logout ({$_SESSION['Username']}@$system_url)" | 完全性: ラボで実証: ログアウト HTML および StaticText 内でクォート破壊が生のまま。 |
| 同じ残存箇所 | 同じシンク | 偵察: ラボで実証: head.inc を含むすべての認証済みページでセッションユーザー名が反映される。 |
| 同じ残存箇所 | 同じシンク | 可用性: 示されたものはなし。 |
必要条件: LDAP/RADIUS WebGUI session。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: LDAP/RADIUS WebGUI session。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
ローカル [^a-zA-Z0-9.-_] 文字セット。htmlspecialchars($system_url)。未認証は該当なし。
Diagnostics: Command はそのページも許可されていない限り不可。
cd lab
./run.sh
ループバック 127.0.0.1:19170。Compose プロジェクト pfsense-auth-username-xss。ウィットネス PFSENSE-AUTH-USERNAME-XSS-WITNESS。ループバックのみ: 127.0.0.1:19170。Compose プロジェクト pfsense-auth-username-xss。ウィットネス PFSENSE-AUTH-USERNAME-XSS-WITNESS。固定した行の PHP ガジェット。実行後にスタックは破棄される。
最終行:
SUCCESS PFSENSE-AUTH-USERNAME-XSS control-admin-encoded=yes trigger-quote-break=yes witness-unescaped=yes local-charset-blocks-trigger=yes PFSENSE-AUTH-USERNAME-XSS-WITNESS
head.inc と passwordmg でセッションユーザー名を htmlspecialchars する。
9363ac5b8651a1c7a333180425ce7719070f95f9