abraxas/pfsense-logs-filter-xsspfSense CE 2.9.0-DEVELOPMENT - 中 - リモート - XSS - ログフィルターのJSONをHTMLとして出力
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-logs-filter-xss
クラス: XSS 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
status_logs_filter.php POST resolve= json_encode で JSON_HEX_TAG なし、デフォルトの Content-Type は text/html。
| ID | CVE 未割当 |
| クラス | XSS |
| 到達範囲 | リモート（特記なき限り認証済み WebGUI） |
| CWE | CWE-79 |
| CVSS | 中: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | page-diagnostics-logs-firewall を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定しました。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19130 上のループバック HTTP です。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 権限 |
|---|---|---|
| POST status_logs_filter.php resolve= | json_encode を text/html として | 完全性: ラボで実証: GUI オリジン内で |
| 同じ残存箇所 | 同じシンク | 偵察: ラボで実証: JSON-as-HTML 内のエスケープされていない script タグ。 |
| 同じ残存箇所 | 同じシンク | 可用性: 示されたものなし。 |
必要条件: page-diagnostics-logs-firewall。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: page-diagnostics-logs-firewall。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
application/json と nosniff。JSON_HEX_TAG。csrf-magic。SameSite=Strict。未認証は該当なし。
そのページも許可されていない限り、Diagnostics: Command はありません。
cd lab
./run.sh
ループバック 127.0.0.1:19130。Compose プロジェクト pfsense-logs-filter-xss。ウィットネス PFSENSE-LOGS-FILTER-XSS-WITNESS。ループバックのみ: 127.0.0.1:19130。Compose プロジェクト pfsense-logs-filter-xss。ウィットネス PFSENSE-LOGS-FILTER-XSS-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄されます。
最終行:
SUCCESS PFSENSE-LOGS-FILTER-XSS control-json-html=yes trigger-unescaped-script=yes PFSENSE-LOGS-FILTER-XSS-WITNESS
Content-Type application/json。json_encode JSON_HEX_TAG|JSON_HEX_AMP。
9363ac5b8651a1c7a333180425ce7719070f95f9