pfBlockerNg-CVE-2022-40624

背景

pfBlockerNG は、以下の機能を備えた pfBlocker の次世代版です。

1. IPv4/v6 リストソースを「拒否 (Deny)、許可 (Permit)、一致 (Match)」形式で管理します。
2. MaxMind Inc. による GeoIP データベース (GeoLite2 無料版)。
3. 重複排除 (De-Duplication)、抑止 (Suppression)、およびレピュテーション (Reputation) の拡張。
4. 多様なリスト形式からのダウンロード機能。
5. Proofpoint ET IQRisk IP レピュテーション脅威ソースの高度な統合。
6. Unbound DNS リゾルバーによるドメイン名 (DNSBL) ブロック。

https://docs.netgate.com/pfsense/en/latest/packages/pfblocker.html

影響を受けるバージョン

pfBlockerNg <2.1.4_27

脆弱性

未認証のリモートコード実行 (RCE)

index.php の TLD ブロックセクションのクエリには、HEADER の Host ソースからのサニタイズ/エスケープされていないユーザー入力 d_query が PHP の exec 関数シンクに含まれています。

exec("/usr/bin/grep -l '^{$d_query}$' /var/db/pfblockerng/dnsblalias/DNSBL_TLD", $match);

/pfblockerng/www/index.php

// Query for a TLD Block
if (empty($pfb_query)) {
	$idparts	= explode('.', $query);
	$idcnt		= (count($idparts) -1);

	for ($i=1; $i <= $idcnt; $i++) {
		$d_query = implode('.', array_slice($idparts, -$i, $i, TRUE));
		exec("/usr/bin/grep -l '^{$d_query}$' /var/db/pfblockerng/dnsblalias/DNSBL_TLD", $match);

		if (!empty($match[0])) {
			$pfb_query = 'DNSBL_TLD';
			break;
		}
	}
}