abraxas/pfsense-dhcpd-confpfSense CE 2.9.0-DEVELOPMENT - 中 - リモート - 設定インジェクション - ISC dhcpd filename
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-dhcpd-conf
クラス: 設定インジェクション 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
services_dhcpdv4_configure は filename "{$sm['filename']}"; を addslashes なしで補間する。GUI は $_POST['filename'] を引用符/改行のゲートなしで保存する。Kea JSON は SA-26_20 のスキップ。
| ID | CVE 未割当 |
| クラス | 設定インジェクション |
| 到達範囲 | リモート (特に断りのない限り認証済み WebGUI) |
| CWE | CWE-74 |
| CVSS | Medium: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | page-services-dhcpserver-editstaticmapping を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 をピン留めした。ラボはピン留めしたシンクの PHP ガジェットで、127.0.0.1:19250 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 権限 |
|---|---|---|
| POST services_dhcp_edit.php filename | filename "{$sm['filename']}"; | 完全性: ラボで実証済み: chroot 設定に追加オプション tftp-server-name。filename は argv に到達しなかった。 |
| 同じ残存箇所 | 同じシンク | 偵察: 示されたものはなし。 |
| 同じ残存箇所 | 同じシンク | 可用性: 推測: dhcpd のパース失敗または追加の PXE オプション。 |
必要条件: page-services-dhcpserver-editstaticmapping。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: page-services-dhcpserver-editstaticmapping。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
ホストシェル。chroot 外のファイル。Kea JSON。hostname の文字セット。numberoptions のテキスト引用符。
そのページも許可されていない限り Diagnostics: Command はなし。
cd lab
./run.sh
ループバック 127.0.0.1:19250。Compose プロジェクト pfsense-dhcpd-conf。ウィットネス PFSENSE-DHCPD-CONF-WITNESS。ループバックのみ: 127.0.0.1:19250。Compose プロジェクト pfsense-dhcpd-conf。ウィットネス PFSENSE-DHCPD-CONF-WITNESS。ピン留めした行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-DHCPD-CONF control-one-filename=yes trigger-extra-statement=yes PFSENSE-DHCPD-CONF-WITNESS
filename/rootpath/ldap/DUID で addslashes / 引用符と改行を拒否する。
9363ac5b8651a1c7a333180425ce7719070f95f9