pfSense CE 2.9.0-DEVELOPMENT - 高 - リモート - ファイル書き込み - CP ファイルマネージャー
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-cp-filemanager-write
クラス: ファイル書き込み 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
アップロード名は basename() されていない。すでに captiveportal- を含む名前はプレフィックスをスキップする。file_put_contents("{$g['captiveportal_element_path']}/{$data['name']}") で cpelements = /var/db/cpelements。captiveportal-.. の後に残った ../ は依然として / まで遡る。
| ID | CVE 未採番 |
| クラス | ファイル書き込み |
| 到達範囲 | リモート (注記がない限り認証済み WebGUI) |
| CWE | CWE-22 |
| CVSS | High: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | page-services-captiveportal-filemanager を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19000 のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 権限 |
|---|---|---|
| POST services_captiveportal_filemanager.php のファイル名 | file_put_contents cpelements/{$data['name']} | 完全性: ラボで実証済み: 名前 captiveportal-../../../../../oracle/... はプレフィックスをスキップし、cpelements の外に書き込んだ。root による PHP 書き込みはこのプラットフォームではホスト RCE となる。 |
| 同じ残存箇所 | 同じシンク | 偵察: 推測: config.xml または www の PHP を上書きする。 |
| 同じ残存箇所 | 同じシンク | 可用性: 推測: 重要なファイルを上書きする。 |
必要条件: page-services-captiveportal-filemanager。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: page-services-captiveportal-filemanager。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
部分文字列を含まない名前にはプレフィックスが付与され、その方法では脱出できない。ポータルジェイル内で文書化された PHP は別の機能である。
そのページも許可されていない限り Diagnostics: Command はない。
cd lab
./run.sh
ループバック 127.0.0.1:19000。Compose プロジェクト pfsense-cp-filemanager-write。ウィットネス PFSENSE-CP-FILEMANAGER-WRITE-WITNESS。ループバックのみ: 127.0.0.1:19000。Compose プロジェクト pfsense-cp-filemanager-write。ウィットネス PFSENSE-CP-FILEMANAGER-WRITE-WITNESS。固定した行の PHP ガジェット。実行後にスタックは破棄される。
最終行:
SUCCESS PFSENSE-CP-FILEMANAGER-WRITE control-prefixed=yes prefix-no-escape=yes trigger-outside=yes PFSENSE-CP-FILEMANAGER-WRITE-WITNESS
アップロード名を basename() する。常にプレフィックスを付与する。.. を拒否する。
9363ac5b8651a1c7a333180425ce7719070f95f9