abraxas/pfsense-cp-filename-xsspfSense CE 2.9.0-DEVELOPMENT - 中 - リモート - XSS - CP ファイル名に保存される XSS
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-cp-filename-xss
クラス: XSS 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
ファイル名がデフォルトのログイン HTML 上の / CSS url(...) にエンコードなしで補間される。ポータルのオリジンは GUI のオリジンではない。SA-26_05 は GUI ウィジェットである。
| ID | CVE 未採番 |
| クラス | XSS |
| 到達範囲 | リモート (注記がない限り認証済み WebGUI) |
| CWE | CWE-79 |
| CVSS | Medium: 6.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | plant with page-services-captiveportal-filemanager; victim is an unauth portal client を伴う WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19110 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 権限 |
|---|---|---|
| ファイルマネージャー名を POST し、その後未認証でポータルログイン HTML を GET | get_default_captive_portal_html img src={$logo_src} | 完全性: 推測: ポータルログイン上のスクリプトがそのページの auth_user / auth_pass を読み取れる。 |
| 同じ残存物 | 同じシンク | 偵察: ラボで実証: 未認証ポータル HTML 内の生の onerror= と証跡。GUI リストは同じ名前を htmlspecialchars でエンコードしていた。 |
| 同じ残存物 | 同じシンク | 可用性: 示されたものはなし。 |
必要条件: plant with page-services-captiveportal-filemanager; victim is an unauth portal client。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: plant with page-services-captiveportal-filemanager; victim is an unauth portal client。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
GUI クッキー。ファイルマネージャーリストのエンコード。SA-26_05 ウィジェット。
そのページも許可されていない限り Diagnostics: Command はなし。
cd lab
./run.sh
ループバック 127.0.0.1:19110。Compose プロジェクト pfsense-cp-filename-xss。証跡 PFSENSE-CP-FILENAME-XSS-WITNESS。ループバックのみ: 127.0.0.1:19110。Compose プロジェクト pfsense-cp-filename-xss。証跡 PFSENSE-CP-FILENAME-XSS-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-CP-FILENAME-XSS control-inert=yes trigger-raw=yes witness-unescaped=yes gui-cookie-theft=no PFSENSE-CP-FILENAME-XSS-WITNESS
ポータル HTML 内のファイル名を htmlspecialchars する。アップロード文字セットを制限する。
9363ac5b8651a1c7a333180425ce7719070f95f9