abraxas/pfsense-cp-maxprocperippfSense CE 2.9.0-DEVELOPMENT - 高 - リモート - 設定インジェクション - CP maxprocperip nginx
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-cp-maxprocperip
クラス: 設定インジェクション 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
整数チェックは未使用の POST maxproc に対して行われる。maxprocperip は生のまま保存され、server{} 内で limit_conn addr $maxprocperip; として出力される。追加の location/alias が受け入れられる。
| ID | CVE 未割当 |
| クラス | 設定インジェクション |
| 到達範囲 | リモート (注記がない限り認証済み WebGUI) |
| CWE | CWE-94 |
| CVSS | High: 7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | plant with page-services-captiveportal; then unauth on the portal listener を伴う WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19120 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 権限 |
|---|---|---|
| POST services_captiveportal.php maxprocperip、その後ポータル vhost へ未認証 GET | system_generate_nginx_config limit_conn addr $maxprocperip; | 完全性: ラボで実証: CP server{} 内に追加の location /p { alias /oracle/; }。nginx -t は通過。 |
| 同じ残存物 | 同じシンク | 偵察: ラボで実証: その location への未認証 GET が、GUI ではなくポータル vhost 上の植え付けファイルを返した。ホスト RCE は示されていない。 |
| 同じ残存物 | 同じシンク | 可用性: 推測: 無効な nginx はそのゾーンの起動に失敗する。 |
必要条件: plant with page-services-captiveportal; then unauth on the portal listener。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: plant with page-services-captiveportal; then unauth on the portal listener。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
GUI nginx (captive_portal=false)。未認証の植え付け。ホスト RCE。
そのページも許可されていない限り Diagnostics: Command はない。
cd lab
./run.sh
ループバック 127.0.0.1:19120。Compose プロジェクト pfsense-cp-maxprocperip。ウィットネス PFSENSE-CP-MAXPROCPERIP-WITNESS。ループバックのみ: 127.0.0.1:19120。Compose プロジェクト pfsense-cp-maxprocperip。ウィットネス PFSENSE-CP-MAXPROCPERIP-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-CP-MAXPROCPERIP control-limit-conn=yes nginx-t-control=yes trigger-inject=yes nginx-t-trigger=yes host-read=yes fail-to-start=no PFSENSE-CP-MAXPROCPERIP-WITNESS
is_numericint maxprocperip。波括弧/セミコロンを拒否する。
9363ac5b8651a1c7a333180425ce7719070f95f9