pfSense CE 2.9.0-DEVELOPMENT - 高 - リモート - 権限の残存 - LDAP 管理者名
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-ldap-name-collision
クラス: 特権の残留 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
getUserEntry($name) は名前が一致するとローカル行を返す。次に isAdminUID() が uid 0 を認識し、isAllowedPage がすべてのページを許可する。passwordmg はセッションをローカルとして扱い、そのユーザーのハッシュを書き込む。uid == 0 は緩い比較である。
| ID | CVE 未割当 |
| クラス | 特権の残留 |
| 到達範囲 | リモート (特に断りのない限り認証済み WebGUI) |
| CWE | CWE-269 |
| CVSS | High: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | authmode != Local の場合のリモート WebGUI ログイン; passwordmg は warn-root ではない を伴う WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19010 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 特権 |
|---|---|---|
| ローカル管理者名で LDAP/RADIUS バインドし、その後 passwordmg に POST | getUserEntry / isAdminUID / local_user_set_password | 完全性: ラボで実証: リモート管理者は isAdminUID である; diag_command を含むすべてのページ; passwordmg が uid 0 のハッシュを設定した。スタブのみのリモート名はフェイルクローズする。 |
| 同じ残留 | 同じシンク | 偵察: ラボで実証: すべてのページの許可フラグ。 |
| 同じ残留 | 同じシンク | 可用性: 示されたものはなし。 |
必要条件: authmode != Local の場合のリモート WebGUI ログイン; passwordmg は warn-root ではない。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: authmode != Local の場合のリモート WebGUI ログイン; passwordmg は warn-root ではない。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
スタブのみのリモート名。usermanager 自体は warn-root である。SA-26_22 の xmlrpc uid スキップは別のバグである。
そのページも許可されない限り、Diagnostics: Command はない。
cd lab
./run.sh
ループバック 127.0.0.1:19010。Compose プロジェクト pfsense-ldap-name-collision。ウィットネス PFSENSE-LDAP-NAME-COLLISION-WITNESS。ループバックのみ: 127.0.0.1:19010。Compose プロジェクト pfsense-ldap-name-collision。ウィットネス PFSENSE-LDAP-NAME-COLLISION-WITNESS。固定した行の PHP ガジェット。実行後にスタックは破棄される。
最終行:
SUCCESS PFSENSE-LDAP-NAME-COLLISION control-isadmin=no control-diag=no control-hash-unchanged=yes trigger-isadmin=yes trigger-all-pages=yes trigger-hash-set=yes uid-loose-eq=yes PFSENSE-LDAP-NAME-COLLISION-WITNESS
リモート名をローカルの uid 0 行にマッピングしないこと。厳密な uid === '0' と認証ソースを使用すること。passwordmg を warn-root にすること。
9363ac5b8651a1c7a333180425ce7719070f95f9