abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-pppoe-secret-bang

pfsense-pppoe-secret-bang

クラス: RCE 到達範囲: リモート

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

ユーザー名の文字セットが CR/LF を許可する。パスワードの ! 除去 (#10275) は、パスワードの先頭の ! のみを ltrim する。mpd は ! を外部パスワードヘルパーとして root で実行する。直接 POST は改行を保持し、ブラウザの type=text は改行を除去する。

ID	CVE 未割当
クラス	RCE
到達範囲	リモート (特に断りのない限り認証済み WebGUI)
CWE	CWE-78
CVSS	High: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
製品	pfSense CE
影響を受けるバージョン	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
認証	page-services-pppoeserver-edit を持つ WebGUI セッション
ライセンス	GNU Affero GPL v3.0
ラボ	127.0.0.1 のみ

公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:18980 上のループバック HTTP である。

シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers

攻撃者ができること

手法	シンク	権限
CR/LF を含むユーザー名で services_pppoe_edit.php に POST	vpn_pppoe_updatesecret mpd.secret ! ヘルパー	完全性: ラボで実証済み: ユーザー名の改行と ! ヘルパー行。スタブ PAP/CHAP がヘルパーを実行し、証跡を書き込んだ。パスワードの ! は GUI で拒否された。
同じ残存箇所	同じシンク	偵察: 推測: ヘルパーの stdout は未使用。
同じ残存箇所	同じシンク	可用性: 示されたものなし。

必要条件: page-services-pppoeserver-edit。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。

必要条件: page-services-pppoeserver-edit。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。

閉じたままの隣接する攻撃面

パスワードの ! は GUI と ltrim。L2TP ユーザー名の文字セット。ブラウザによる改行除去。

そのページも許可されていない限り Diagnostics: Command はなし。

ラボ

cd lab
./run.sh

ループバック 127.0.0.1:18980。Compose プロジェクト pfsense-pppoe-secret-bang。証跡 PFSENSE-PPPOE-SECRET-BANG-WITNESS。ループバックのみ: 127.0.0.1:18980。Compose プロジェクト pfsense-pppoe-secret-bang。証跡 PFSENSE-PPPOE-SECRET-BANG-WITNESS。固定した行の PHP ガジェット。実行後にスタックは破棄される。

最終行:

SUCCESS PFSENSE-PPPOE-SECRET-BANG control-one-line=yes control-no-helper=yes password-bang-strip=yes trigger-helper=yes PFSENSE-PPPOE-SECRET-BANG-WITNESS

修正

PPPoE ユーザー名で CR/LF を拒否する。L2TP と同じ文字セットを適用する。

参考文献

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-78
• シリーズ: https://abraxaslabs.tech/research/pfsense-ce-leftovers