abraxas/pfsense-crash-reporter-xsspfSense CE 2.9.0-DEVELOPMENT - 中 - リモート - XSS - crash_reporter textarea
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-crash-reporter-xss
クラス: XSS 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
/tmp/PHP_errors.log は htmlspecialchars を経由する。/var/crash/* は file_get_contents で <?=$crash_reports?> にエンコードなしで展開される。
| ID | CVE 未割当 |
| クラス | XSS |
| 到達範囲 | リモート（特記なき限り認証済み WebGUI） |
| CWE | CWE-79 |
| CVSS | Medium: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | page-diagnostics-crash-reporter を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 をピン留めした。ラボはピン留めしたシンクの PHP ガジェットで、127.0.0.1:19180 のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 権限 |
|---|---|---|
| HTML を含むクラッシュファイルの後で crash_reporter.php に GET | textarea> | 完全性: ラボで実証済み: クラッシュブロブ |
| 同じ残存物 | 同じシンク | 偵察: 推測: クラッシュレポーターを開く GUI ユーザーとしての、ダンプ由来の格納型 XSS。 |
| 同じ残存物 | 同じシンク | 可用性: 示されたものなし。 |
必要条件: page-diagnostics-crash-reporter。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: page-diagnostics-crash-reporter。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
PHP エラーログは htmlspecialchars。
そのページも許可されていない限り Diagnostics: Command はなし。
cd lab
./run.sh
ループバック 127.0.0.1:19180。Compose プロジェクト pfsense-crash-reporter-xss。ウィットネス PFSENSE-CRASH-REPORTER-XSS-WITNESS。ループバックのみ: 127.0.0.1:19180。Compose プロジェクト pfsense-crash-reporter-xss。ウィットネス PFSENSE-CRASH-REPORTER-XSS-WITNESS。ピン留めした行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-CRASH-REPORTER-XSS control-encoded=yes trigger-raw=yes PFSENSE-CRASH-REPORTER-XSS-WITNESS
textarea 内のクラッシュブロブを htmlspecialchars する。
9363ac5b8651a1c7a333180425ce7719070f95f9