abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-unbound-acl-crlf

pfsense-unbound-acl-crlf

クラス: RCE 到達範囲: リモート

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

ACL の name/action は checkconf なしで access_lists.conf に書き込まれる。sock-queue-timeout と同じ include: クラスだが、型付きフィールドが異なる。

ID	CVE 未採番
クラス	RCE
到達範囲	リモート (注記がない限り認証済み WebGUI)
CWE	CWE-74
CVSS	High: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
製品	pfSense CE
影響を受けるバージョン	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
認証	page-services-dnsresolver-acls を持つ WebGUI セッション
ライセンス	GNU Affero GPL v3.0
ラボ	127.0.0.1 のみ

公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19060 のループバック HTTP である。

シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers

攻撃者ができること

メソッド	シンク	権限
POST services_unbound_acls.php aclname / aclaction	unbound_acls_config access_lists.conf	完全性: ラボ実証済み: name または action に CRLF include:; スタブ unbound が仕込んだ証拠をダンプした。
同じ残存箇所	同じシンク	偵察: ラボ実証済み: インクルードされたホストファイルの内容が返された。
同じ残存箇所	同じシンク	可用性: 推測: リゾルバの起動を失敗させる。

必要条件: page-services-dnsresolver-acls。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。

必要条件: page-services-dnsresolver-acls。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。

閉じたままの隣接面

network/mask は is_ipaddr。descr は展開されない。#16637 は ACL に言及していない。

そのページも許可されていない限り Diagnostics: Command はない。

ラボ

cd lab
./run.sh

ループバック 127.0.0.1:19060。Compose プロジェクト pfsense-unbound-acl-crlf。証拠 PFSENSE-UNBOUND-ACL-CRLF-WITNESS。ループバックのみ: 127.0.0.1:19060。Compose プロジェクト pfsense-unbound-acl-crlf。証拠 PFSENSE-UNBOUND-ACL-CRLF-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄される。

最終行:

SUCCESS PFSENSE-UNBOUND-ACL-CRLF control-one-stanza=yes trigger-name-include=yes trigger-action-include=yes checkconf-on-acl-save=no PFSENSE-UNBOUND-ACL-CRLF-WITNESS

修正

ACL の name/action を文字セットチェックする。ACL 保存時に test_unbound_config を実行する。

参考資料

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-74
• シリーズ: https://abraxaslabs.tech/research/pfsense-ce-leftovers