abraxas/pfsense-dyndns-cache-pathpfSense CE 2.9.0-DEVELOPMENT - 中 - リモート - ファイル書き込み - DynDNS キャッシュパス
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-dyndns-cache-path
クラス: ファイル書き込み 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
カスタムホストは is_domain() をスキップする。updatedns はキャッシュパスを /conf/dyndns_{if}{type} に escapeshellarg($FQDN) と {id}.cache を加えたものとして構築する。引用符はファイル名のバイトであり、/ は依然としてパスを分割する。内容は IP|epoch であり、シェルではない。
| ID | CVE 未割当 |
| クラス | ファイル書き込み |
| 到達範囲 | リモート (特記なき限り認証済み WebGUI) |
| CWE | CWE-22 |
| CVSS | Medium: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | page-services-dynamicdnsclient を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定されたシンクの PHP ガジェットで、127.0.0.1:19270 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 権限 |
|---|---|---|
| POST services_dyndns_edit.php のカスタムホスト名に / を含める | escapeshellarg($FQDN) を用いた file_put_contents キャッシュパス | 完全性: ラボで実証済み: / を含むホスト名が /conf の外に IP |
| 同じ残存箇所 | 同じシンク | 偵察: なし。内容は IP |
| 同じ残存箇所 | 同じシンク | 可用性: 推測: 引用符付きサフィックスに一致する名前のファイルを上書きする。 |
必要条件: page-services-dynamicdnsclient。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: page-services-dynamicdnsclient。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
未認証。FQDN の mwexec。*.cache の cron/php 実行。非カスタムの dyndns はそのホストを拒否する。
そのページも許可されていない限り Diagnostics: Command はない。
cd lab
./run.sh
ループバック 127.0.0.1:19270。Compose プロジェクト pfsense-dyndns-cache-path。ウィットネス PFSENSE-DYNDNS-CACHE-PATH-WITNESS。ループバックのみ: 127.0.0.1:19270。Compose プロジェクト pfsense-dyndns-cache-path。ウィットネス PFSENSE-DYNDNS-CACHE-PATH-WITNESS。固定された行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-DYNDNS-CACHE-PATH control-under-conf=yes trigger-outside-conf=yes PFSENSE-DYNDNS-CACHE-PATH-WITNESS
ファイル名として escapeshellarg を使用しないこと。ホストを basename / is_domain すること。
9363ac5b8651a1c7a333180425ce7719070f95f9