abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-https-host-redirect
クラス: オープンリダイレクト 到達性: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
system.inc は、return 301 https://$http_host$redirectport$request_uri; を含み、server_name を持たないポート 80 の server{} を出力する。nginx は php-fpm より前に 301 を返すため、auth.inc の DNS リバインドは決して実行されない。
| ID | CVE 未割当 |
| クラス | オープンリダイレクト |
| 到達性 | リモート (特に断りのない限り認証済み WebGUI) |
| CWE | CWE-601 |
| CVSS | Medium: 4.7 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | WebGUI の HTTP リスナーに到達できる未認証クライアント による WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19210 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 権限 |
|---|---|---|
| 悪意ある Host を伴う TCP/80 上の未認証 GET / | nginx return 301 https://$http_host... | 完全性: なし。 |
| 同じ残存箇所 | 同じシンク | 偵察: ラボで実証済み: Host evil.example が Location https://evil.example/index.php になった。PHP の DNS リバインド 501 はこの 301 では実行されない。 |
| 同じ残存箇所 | 同じシンク | 可用性: 示されたものはなし。 |
必要条件: WebGUI の HTTP リスナーに到達できる未認証クライアント。特に断りのない限り POST には CSRF-magic が適用される。WebGUI の PHP-FPM は root で動作する。
必要条件: WebGUI の HTTP リスナーに到達できる未認証クライアント。特に断りのない限り POST には CSRF-magic が適用される。WebGUI の PHP-FPM は root で動作する。特に断りのない限り POST には CSRF-magic が適用される。WebGUI の PHP-FPM は root で動作する。
HTTPS GUI 自体に対する PHP の DNS リバインド。
そのページも許可されていない限り、Diagnostics: Command は存在しない。
cd lab
./run.sh
ループバック 127.0.0.1:19210。Compose プロジェクト pfsense-https-host-redirect。ウィットネス PFSENSE-HTTPS-HOST-REDIRECT-WITNESS。ループバックのみ: 127.0.0.1:19210。Compose プロジェクト pfsense-https-host-redirect。ウィットネス PFSENSE-HTTPS-HOST-REDIRECT-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-HTTPS-HOST-REDIRECT control-localhost=yes trigger-evil=yes php-rebind-skips-301=yes PFSENSE-HTTPS-HOST-REDIRECT-WITNESS
設定済みのホスト名、または $http_host ではなく $host (許可リスト) を使用すること。
9363ac5b8651a1c7a333180425ce7719070f95f9