abraxas/pfsense-ntp-gps-fudgepfSense CE 2.9.0-DEVELOPMENT - 中 - リモート - 設定インジェクション - NTP GPS/PPS fudge
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-ntp-gps-fudge
クラス: 設定インジェクション 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
system.inc は GPS/PPS の fudge/refid/stratum を ntpd.conf に連結する。mwexec はそのパスを指定した ntpd -c である。
| ID | CVE 未採番 |
| クラス | 設定インジェクション |
| 到達範囲 | リモート（特記なき限り認証済み WebGUI） |
| CWE | CWE-74 |
| CVSS | Medium: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | page-services-ntpd-gps / page-services-ntpd-pps を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19230 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 権限 |
|---|---|---|
| POST services_ntpd_gps.php gpsfudge1 / refid / stratum | ntpd.conf fudge 127.127.20.0 ... | 完全性: ラボで実証: 改行により追加の ntpd 言語が加わった。シェルではない。 |
| 同じ残存箇所 | 同じシンク | 偵察: 示されたものはなし。 |
| 同じ残存箇所 | 同じシンク | 可用性: 推測: 悪意ある ntpd.conf は時刻同期を失敗させ得る。 |
必要条件: page-services-ntpd-gps / page-services-ntpd-pps。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: page-services-ntpd-gps / page-services-ntpd-pps。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
シェルではない。mwexec の argv は conf パスである。
そのページも許可されていない限り Diagnostics: Command はない。
cd lab
./run.sh
ループバック 127.0.0.1:19230。Compose プロジェクト pfsense-ntp-gps-fudge。ウィットネス PFSENSE-NTP-GPS-FUDGE-WITNESS。ループバックのみ: 127.0.0.1:19230。Compose プロジェクト pfsense-ntp-gps-fudge。ウィットネス PFSENSE-NTP-GPS-FUDGE-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-NTP-GPS-FUDGE control-fudge0=yes trigger-extra-ntpd=yes not-shell=yes PFSENSE-NTP-GPS-FUDGE-WITNESS
fudge/refid/stratum を数値/文字セットでチェックする。CR/LF を拒否する。
9363ac5b8651a1c7a333180425ce7719070f95f9