abraxas/pfsense-limiter-numberpfSense CE 2.9.0-DEVELOPMENT - 高 - リモート - RCE - limiter number dnctl
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-limiter-number
解説記事: https://abraxaslabs.tech/research/pfsense-limiter-number
クラス: RCE 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
Traffic Shaper の Limiter は、編集時に隠しフィールド number を出力する。作成時はその番号を dnpipe_find_nextnumber() で上書きする。編集時は上書きしない。validate_input は number を一切検証しない。GetNumber() はクォートされずに dnctl pipe|sched|queue delete へ連結される。PHP の mwexec は /bin/sh -c である。必要な権限は page-firewall-trafficshaper-limiter であり、Diagnostics: Command ではない。
| ID | CVE 未割当 |
| クラス | RCE |
| 到達範囲 | リモート（認証済み WebGUI） |
| CWE | CWE-78 |
| CVSS | High: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 製品 | pfSense CE |
| 影響対象 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) の limiter number |
| 認証 | page-firewall-trafficshaper-limiter を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master の 9363ac5 に固定した。ラボは固定した ReadConfig / SetNumber / delete_queue による PHP ガジェットである。ループバック 127.0.0.1:18840。
| 手法 | シンク | 権限 |
|---|---|---|
limiter を作成し、攻撃者の number を付けて save を POST し、その後その limiter を削除する | mwexec("/sbin/dnctl pipe delete " . $this->GetNumber()) (shaper.inc:3820) | 完全性（ラボ実証済み）: root シェル。ラボでは edit-delete が証跡を書き込んだ（edit-delete-exec=yes）。作成時の上書きと apply-file 経路は何も書き込まなかった。 |
| 同じ root シェル | ホストのファイルシステム | 偵察（推定）: config.xml、鍵。 |
root シェル、または攻撃者の番号による dnctl | dummynet | 可用性（推定）: limiter / dummynet の妨害。 |
ラボ実証済みと推定の区別: 作成時の上書き（証跡なし）、apply-file 経路（ファイルに対する dnctl、証跡なし）、edit-delete の実行（証跡あり）はラボで実証済みである。ファイルシステムの偵察は root 権限の PHP-FPM から推定したものである。
必要条件: page-firewall-trafficshaper-limiter を持つ WebGUI セッション。save の POST には CSRF が必要。削除は GET の action=delete である。
| 面 | ラボ |
|---|---|
| 作成経路 | dnpipe_find_nextnumber() が上書き、create-overwrites=yes |
| 適用経路 | /tmp/rules.limiter に対する dnctl、ファイル名はユーザー制御不可、apply-file=yes |
| limiter 名の文字集合 | ^[a-zA-Z0-9_-]+$ |
| 未認証 | 閉じている |
| Diagnostics: Command | 別途付与されない限り閉じたまま |
/tmp/rules.limiter に入る AQM パラメータは追加の dummynet 言語であり、この残存問題とは別である。
cd lab
./run.sh
ループバック 127.0.0.1:18840。Compose プロジェクト pfsense-limiter-number。イメージタグ pfsense-limiter-number:2.9.0-dev。ウィットネス PFSENSE-LIMITER-NUMBER-WITNESS。最終行:
SUCCESS PFSENSE-LIMITER-NUMBER create-overwrites=yes apply-file=yes edit-delete-exec=yes PFSENSE-LIMITER-NUMBER-WITNESS
すべての dnctl の前に GetNumber() を int キャストする。編集時の POST number を無視するか、稼働中の dummynet id に対して範囲チェックする。作成はすでに上書きするため、編集も同様にする。
9363ac5b8651a1c7a333180425ce7719070f95f9shaper.inc delete_queue / GetNumberfirewall_shaper_vinterface.php