abraxas/pfsense-assign-if-addpfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - RCE - assign Add if_add
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-assign-if-add
분류: RCE 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
interfaces_assign.php의 Add는 $_POST['if_add']를 $portlist 멤버십 검사 없이 저장합니다. Submit는 $portlist에 있는 포트만 재매핑합니다. wireless_regex는 /^(ath|...)[0-9]+/로 $가 없습니다. ath0;w가 일치합니다. Clone과 get_wireless_modes가 ifconfig로 보간됩니다.
| ID | 아직 CVE 없음 |
| 분류 | RCE |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-78 |
| CVSS | 높음: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향받는 버전 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-interfaces-assignnetworkports then GET interfaces.php?if=optN 권한이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
저는 공개 master 9363ac5를 고정했습니다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:18920에서 루프백 HTTP를 사용합니다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| POST interfaces_assign.php if_add, 그다음 GET interfaces.php?if=optN | 앵커링되지 않은 wireless_regex, 그다음 interface_wireless_clone ifconfig | 무결성: 랩에서 입증됨: Add가 ath0;w를 opt1로 저장했고, GET interfaces.php?if=opt1이 clone ifconfig를 실행했으며, 추가된 w가 증거를 기록했습니다. |
| 동일한 잔여 취약점 | 동일한 싱크 | 정찰: 추정됨: root 셸이 호스트 파일을 읽을 수 있습니다. |
| 동일한 잔여 취약점 | 동일한 싱크 | 가용성: 추정됨: 할당된 포트에 악의적인 ifconfig를 실행할 수 있습니다. |
필요 조건: page-interfaces-assignnetworkports then GET interfaces.php?if=optN. 별도 언급이 없는 한 POST에 CSRF-magic이 적용됩니다. WebGUI PHP-FPM은 root입니다.
필요 조건: page-interfaces-assignnetworkports then GET interfaces.php?if=optN. 별도 언급이 없는 한 POST에 CSRF-magic이 적용됩니다. WebGUI PHP-FPM은 root입니다. 별도 언급이 없는 한 POST에 CSRF-magic이 적용됩니다. WebGUI PHP-FPM은 root입니다.
$portlist에 없는 if_add를 Submit로 재매핑해도 exec되지 않습니다. Diagnostics: Command는 필요하지 않습니다.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 필요하지 않습니다.
cd lab
./run.sh
루프백 127.0.0.1:18920. Compose 프로젝트 pfsense-assign-if-add. 증거 PFSENSE-ASSIGN-IF-ADD-WITNESS. 루프백 전용: 127.0.0.1:18920. Compose 프로젝트 pfsense-assign-if-add. 증거 PFSENSE-ASSIGN-IF-ADD-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해제됩니다.
마지막 줄:
SUCCESS PFSENSE-ASSIGN-IF-ADD control-no-exec=yes trigger-exec=yes PFSENSE-ASSIGN-IF-ADD-WITNESS
if_add가 $portlist에 있도록 요구하십시오. wireless_regex를 $로 앵커링하십시오. clone 이름에 escapeshellarg를 적용하십시오.
9363ac5b8651a1c7a333180425ce7719070f95f9