abraxas/pfsense-pppoe-cronpfSense CE 2.9.0-DEVELOPMENT - 高 - リモート - RCE - PPPoE ptpid crontab
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-pppoe-cron
クラス: RCE 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
handle_pppoe_reset は is_numericint なしで隠し ptpid を使用する。カスタムの hour/minute 検証は OR であるべきところが AND になっている。configure_cron はフィールドを生のまま書き込む。SA-26_06 の兄弟であり、proxyuser ではない。
| ID | CVE 未割当 |
| クラス | RCE |
| 到達範囲 | リモート (特記なき限り認証済み WebGUI) |
| CWE | CWE-78 |
| CVSS | High: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | page-interfaces-ppps-edit を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:18970 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| メソッド | シンク | 権限 |
|---|---|---|
| POST interfaces_ppps_edit.php ptpid / pppoe_resethour | handle_pppoe_reset の後に configure_cron の生フィールド | 完全性: ラボで実証済み: ptpid 内の改行が追加の root crontab 行を追加し、スタブ cron がそれを実行した。 |
| 同じ残存箇所 | 同じシンク | 偵察: 推測: root としての追加 cron。 |
| 同じ残存箇所 | 同じシンク | 可用性: 推測: 追加の定期コマンド。 |
必要条件: page-interfaces-ppps-edit。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: page-interfaces-ppps-edit。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
SA-26_06 は System Proxy の crontab である。#16128 は PPP クライアントのサニタイズである。
そのページも許可されていない限り Diagnostics: Command はない。
cd lab
./run.sh
ループバック 127.0.0.1:18970。Compose プロジェクト pfsense-pppoe-cron。ウィットネス PFSENSE-PPPOE-CRON-WITNESS。ループバックのみ: 127.0.0.1:18970。Compose プロジェクト pfsense-pppoe-cron。ウィットネス PFSENSE-PPPOE-CRON-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-PPPOE-CRON control-one-line=yes trigger-extra-root-line=yes stub-cron-ran-extra=yes PFSENSE-PPPOE-CRON-WITNESS
ptpid を is_numericint にする。hour/minute の CR/LF を拒否する。crontab フィールドをクォートする。
9363ac5b8651a1c7a333180425ce7719070f95f9