abraxas/pfsense-vlan-parent-ioctlpfSense CE 2.9.0-DEVELOPMENT - 低 - リモート - ioctl leftover - VLAN親がポートリストに存在しない
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-vlan-parent-ioctl
クラス: ioctl の残存 到達性: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
interfaces_vlan_edit.php は Form_Select 専用に $portlist を構築する。保存時には does_interface_exist($_POST['if']) をチェックし、interface_vlan_configure を呼び出す。$portlist のメンバーシップは確認しない。ifconfig vlan create は escapeshellarg を使用するため、これはシェルではない。
| ID | CVE 未割当 |
| クラス | ioctl の残存 |
| 到達性 | リモート (注記がない限り認証済み WebGUI) |
| CWE | CWE-863 |
| CVSS | Medium: 4.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | page-interfaces-vlan-edit を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19290 上のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| メソッド | シンク | 権限 |
|---|---|---|
| POST interfaces_vlan_edit.php if= 隠し親 | interface_vlan_configure / pfSense_vlan_create | 完全性: ラボで実証: UI から隠されたライブ lagg メンバーでも vlan create vlandev が実行された。親の欠落とシェルメタ文字は拒否された。 |
| 同じ残存 | 同じシンク | 偵察: 示されたものはなし。 |
| 同じ残存 | 同じシンク | 可用性: 推測: UI が隠したカーネル iface 上の vlan。 |
必要条件: page-interfaces-vlan-edit。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: page-interfaces-vlan-edit。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。注記がない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
シェルではない。親の欠落は拒否される。シェルメタ文字は拒否される。
そのページも許可されていない限り Diagnostics: Command はない。
cd lab
./run.sh
ループバック 127.0.0.1:19290。Compose プロジェクト pfsense-vlan-parent-ioctl。ウィットネス PFSENSE-VLAN-PARENT-IOCTL-WITNESS。ループバックのみ: 127.0.0.1:19290。Compose プロジェクト pfsense-vlan-parent-ioctl。ウィットネス PFSENSE-VLAN-PARENT-IOCTL-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-VLAN-PARENT-IOCTL control-portlist=yes reject-missing=yes no-shell=yes trigger-hidden-ioctl=yes PFSENSE-VLAN-PARENT-IOCTL-WITNESS
POST の if が $portlist に含まれることを要求し、does_interface_exist だけに頼らないこと。
9363ac5b8651a1c7a333180425ce7719070f95f9