abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-rss-file-redirect
クラス: ファイル読み取り 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
is_URL() は HTTP 専用ではない。SimplePie の fix_protocol() は直接の file:// を http に書き換える。再帰的な 3xx Location: file:/// は fix_protocol() を呼び出さず、file_get_contents が root としてパスを読み取る。
| ID | CVE 未割り当て |
| クラス | ファイル読み取り |
| 到達範囲 | リモート (特記なき限り認証済み WebGUI) |
| CWE | CWE-73 |
| CVSS | Medium: 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | page-dashboard-all / widgets MATCH を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19100 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 権限 |
|---|---|---|
| file:// へ 302 する HTTP URL をダッシュボード RSS で保存 | SimplePie File の再帰的 Location file_get_contents | 完全性: なし。読み取り専用。 |
| 同じ残存箇所 | 同じシンク | 偵察: ラボで実証済み: HTTP 302 Location: file:/// が仕込まれた XML を返した。直接の file:// は書き換えられて排除される。 |
| 同じ残存箇所 | 同じシンク | 可用性: 影響は示されず。 |
必要条件: page-dashboard-all / widgets MATCH。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: page-dashboard-all / widgets MATCH。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。特記なき限り POST に CSRF-magic。WebGUI PHP-FPM は root。
このピンでは 26_04 のタイトルエンコード。オペレーターの HTTP(S) フィード URL が機能である。直接の file:// は書き換えられる。
そのページも許可されていない限り Diagnostics: Command はない。
cd lab
./run.sh
ループバック 127.0.0.1:19100。Compose プロジェクト pfsense-rss-file-redirect。ウィットネス PFSENSE-RSS-FILE-REDIRECT-WITNESS。ループバックのみ: 127.0.0.1:19100。Compose プロジェクト pfsense-rss-file-redirect。ウィットネス PFSENSE-RSS-FILE-REDIRECT-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-RSS-FILE-REDIRECT control-rewritten-away=yes trigger-file-location=yes PFSENSE-RSS-FILE-REDIRECT-WITNESS
HTTP(S) フィードを強制する。file: Location に従わない。CURLOPT_PROTOCOLS HTTP(S)。
9363ac5b8651a1c7a333180425ce7719070f95f9