abraxas/pfsense-auth-username-xsspfSense CE 2.9.0-DEVELOPMENT - 중간 - 원격 - XSS - head.inc의 LDAP 사용자 이름
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-auth-username-xss
분류: XSS 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
head.inc 로그아웃 title이 $_SESSION['Username']을 그대로 보간한다. passwordmg Form_StaticText도 마찬가지로 그대로다. 로컬 문자셋은 트리거를 거부하고, LDAP 이름은 이를 건너뛴다.
| ID | 아직 CVE 없음 |
| 분류 | XSS |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-79 |
| CVSS | 중간: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| 제품 | pfSense CE |
| 영향받는 버전 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | LDAP/RADIUS WebGUI session을 사용하는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했다. 랩은 고정된 싱크의 PHP 가젯으로, 127.0.0.1:19170에서 루프백 HTTP를 사용한다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| 따옴표를 깨뜨리는 사용자 이름으로 LDAP 로그인 | head.inc 로그아웃 title="Logout ({$_SESSION['Username']}@$system_url)" | 무결성: 랩에서 입증됨: 로그아웃 HTML과 StaticText에서 따옴표 깨기 원시 삽입. |
| 동일한 잔여 코드 | 동일한 싱크 | 정찰: 랩에서 입증됨: head.inc를 포함하는 모든 인증된 페이지에 세션 사용자 이름이 반사됨. |
| 동일한 잔여 코드 | 동일한 싱크 | 가용성: 입증된 바 없음. |
요구 사항: LDAP/RADIUS WebGUI session. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.
요구 사항: LDAP/RADIUS WebGUI session. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.
로컬 [^a-zA-Z0-9.-_] 문자셋. htmlspecialchars($system_url). 비인증 해당 없음.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없음.
cd lab
./run.sh
루프백 127.0.0.1:19170. Compose 프로젝트 pfsense-auth-username-xss. Witness PFSENSE-AUTH-USERNAME-XSS-WITNESS. 루프백 전용: 127.0.0.1:19170. Compose 프로젝트 pfsense-auth-username-xss. Witness PFSENSE-AUTH-USERNAME-XSS-WITNESS. 고정된 라인들의 PHP 가젯. 실행 후 스택은 해체된다.
마지막 줄:
SUCCESS PFSENSE-AUTH-USERNAME-XSS control-admin-encoded=yes trigger-quote-break=yes witness-unescaped=yes local-charset-blocks-trigger=yes PFSENSE-AUTH-USERNAME-XSS-WITNESS
head.inc와 passwordmg에서 세션 사용자 이름에 htmlspecialchars를 적용한다.
9363ac5b8651a1c7a333180425ce7719070f95f9