abraxas/pfsense-acb-restore-privpfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - 권한 잔여 - ACB 복원
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-acb-restore-priv
분류: 권한 잔여 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
newver는 다운로드하고, 저장된 ACB 비밀번호로 복호화한 뒤 config_restore를 수행합니다. 선택적 userkey는 다른 장치의 백업 세트입니다. 로컬 백업/기록 페이지는 warn-root입니다.
| ID | 아직 CVE 없음 |
| 분류 | 권한 잔여 |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-269 |
| CVSS | 높음: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향받는 버전 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-services-acb가 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
저는 공개 master 9363ac5를 고정했습니다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:19040에서 루프백 HTTP를 사용합니다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| GET/POST services_acb.php newver= | acb_backup_get / decrypt / config_restore | 무결성: 랩에서 입증됨: newver 복원이 config.xml을 심어둔 리비전으로 교체했습니다. newver 없는 복원은 그렇지 않았습니다. |
| 동일한 잔여 | 동일한 싱크 | 정찰: 추론됨: 같은 페이지에서 복호화된 ACB XML을 조회/다운로드할 수 있으며, userkey로 다른 장치 세트를 선택할 수 있습니다. |
| 동일한 잔여 | 동일한 싱크 | 가용성: 추론됨: 복원 UI가 재부팅을 제공하며, 심어둔 설정이 GUI를 잠글 수 있습니다. |
필요 조건: page-services-acb. 별도 언급이 없는 한 POST에 CSRF-magic. WebGUI PHP-FPM은 root입니다.
필요 조건: page-services-acb. 별도 언급이 없는 한 POST에 CSRF-magic. WebGUI PHP-FPM은 root입니다. 별도 언급이 없는 한 POST에 CSRF-magic. WebGUI PHP-FPM은 root입니다.
diag_backup.php / diag_confbak.php는 warn-root입니다.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없습니다.
cd lab
./run.sh
루프백 127.0.0.1:19040. Compose 프로젝트 pfsense-acb-restore-priv. Witness PFSENSE-ACB-RESTORE-PRIV-WITNESS. 루프백 전용: 127.0.0.1:19040. Compose 프로젝트 pfsense-acb-restore-priv. Witness PFSENSE-ACB-RESTORE-PRIV-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체됩니다.
마지막 줄:
SUCCESS PFSENSE-ACB-RESTORE-PRIV ident-no-warn-root=yes no-newver-no-restore=yes newver-restore=yes PFSENSE-ACB-RESTORE-PRIV-WITNESS
page-services-acb를 standard-warning-root로 표시하십시오.
9363ac5b8651a1c7a333180425ce7719070f95f9