pfsense-gw-ipv6-zone

分類: RCE 到達範囲: リモート

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

is_ipaddrv6() は Net_IPv6::checkIPv6 のために %zone を除去し、zone の文字セットチェックを一切行わない。start_dpinger は {$gateway['monitor']} を escapeshellarg なしで mwexec に補間する。monitor が空の場合、ゲートウェイ IP がコピーされる。


ID	CVE 未採番
分類	RCE
到達範囲	リモート (特記なき限り認証済み WebGUI)
CWE	CWE-78
CVSS	High: 8.8 `CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
製品	pfSense CE
影響を受けるバージョン	2.9.0-DEVELOPMENT (`9363ac5b8651a1c7a333180425ce7719070f95f9`)
認証	`page-system-gateways-editgateway then apply` を持つ WebGUI セッション
ライセンス	GNU Affero GPL v3.0
ラボ	`127.0.0.1` のみ

公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:18930 上のループバック HTTP である。

シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers

攻撃者ができること

手法	シンク	権限
POST system_gateways_edit.php gateway/monitor IPv6%zone	start_dpinger mwexec {$gateway['monitor']}	完全性: ラボで実証: fe80::1%eth0;w は依然として is_ipaddrv6 を通過し、mwexec /bin/sh -c が追加の w を実行した。
同じ残存箇所	同じシンク	偵察: 推測: root シェルはホストのファイルを読み取れる。
同じ残存箇所	同じシンク	可用性: 推測: dpinger 監視を停止または置換できる。

必要条件: page-system-gateways-editgateway then apply。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。

必要条件: page-system-gateways-editgateway then apply。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。

閉じたままの隣接面

ゲートウェイ名は is_validaliasname。未認証は該当なし。

Diagnostics: Command は、そのページも許可されていない限り存在しない。

ラボ

cd lab
./run.sh

ループバック 127.0.0.1:18930。Compose プロジェクト pfsense-gw-ipv6-zone。ウィットネス PFSENSE-GW-IPV6-ZONE-WITNESS。ループバックのみ: 127.0.0.1:18930。Compose プロジェクト pfsense-gw-ipv6-zone。ウィットネス PFSENSE-GW-IPV6-ZONE-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄される。

最終行:

SUCCESS PFSENSE-GW-IPV6-ZONE control-no-extra=yes trigger-extra-exec=yes PFSENSE-GW-IPV6-ZONE-WITNESS

修正

zone を文字セットチェックする。mwexec の前に monitor を escapeshellarg する。argv 配列を推奨する。

参考資料

github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
CWE-78
シリーズ: https://abraxaslabs.tech/research/pfsense-ce-leftovers

pfsense-gw-ipv6-zone

人気

pfsense-gw-ipv6-zone

攻撃者ができること

閉じたままの隣接面

ラボ

修正

参考資料