pfsense-carp-vhid

분류: RCE 도달 범위: 원격

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

Virtual IP 편집은 POST로 전달된 CARP VHID를 1-255 검사 없이 저장합니다. Form_Select 옵션은 HTML 전용입니다. CARP 적용은 VHID에 escapeshellarg를 적용합니다. 중첩된 IP Alias 적용은 vhid {$carpvip['vhid']}를 escapeshellarg 바깥에서 보간합니다. CARP 상태는 동일하게 저장된 VHID를 큰따옴표로 감싼 grep 파이프라인에 보간합니다. 세미콜론은 인용된 상태로 유지되지만, 명령 치환은 여전히 /bin/sh -c에서 실행됩니다. 필요한 권한은 VIP 편집 + 적용이며, Diagnostics: Command가 아닙니다.


ID	아직 CVE 없음
분류	RCE
도달 범위	원격 (인증된 WebGUI)
CWE	CWE-78
CVSS	High: 8.8 `CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
제품	pfSense CE
영향 받음	2.9.0-DEVELOPMENT (`9363ac5b8651a1c7a333180425ce7719070f95f9`) CARP VHID
인증	VIP 편집 + 적용 권한이 있는 WebGUI 세션 (상태/위젯은 이후 트리거)
라이선스	GNU Affero GPL v3.0
랩	`127.0.0.1` 전용

공개 master 9363ac5를 고정했습니다. 랩은 고정된 interface_carp_configure, 중첩된 ipalias mwexec, 그리고 상태 exec로 구성된 PHP 가젯입니다. 루프백 127.0.0.1:18830.

공격자가 할 수 있는 일

방법	싱크	권한
정수가 아닌 VHID로 carp VIP를 POST한 뒤, 해당 `_vip{uniqid}` 부모에 중첩된 IP Alias를 적용	`mwexec` `ifconfig ... alias {$gateway} {$vhid}` (`interfaces.inc:3238`)	무결성 (랩 입증): root 셸. 랩: ipalias-unescaped가 증거 파일을 기록함. 동일 VHID의 CARP 적용은 아무것도 기록하지 않음 (`carp-escaped=yes`).
동일하게 저장된 VHID로 `status_carp.php`를 GET하거나 `carp_status.widget.php`를 렌더링	`exec` grep 파이프라인 (`pfsense-utils.inc:794`)	무결성 (랩 입증): 큰따옴표 내부의 명령 치환이 실행되어 증거 파일을 기록함 (`status-sink=yes`, `status-subst=yes`). 세미콜론은 인용된 상태로 유지됨. 위젯 트리거는 다른 GUI 세션일 수 있음.
동일한 root 셸	호스트 파일시스템	정찰 (추론): `config.xml`, 키.
root 셸 또는 손상된 `ifconfig`	CARP / alias 장치	가용성 (추론): 인터페이스 / CARP / 필터 중단.

랩 입증 vs 추론: carp-escaped, ipalias-unescaped 증거, 그리고 상태 명령 치환 증거는 랩에서 입증되었습니다. 파일시스템 정찰과 필터 중단은 root PHP-FPM에서 추론한 것입니다.

필요 조건: page-firewall-virtualipaddress-edit (저장) 및 page-firewall-virtualipaddresses (적용). 상태 싱크: page-status-carp 또는 CARP 위젯이 있는 임의의 대시보드. POST에 대한 CSRF.

닫힌 상태로 유지되는 인접 표면

표면	랩
CARP 적용 자체	VHID에 `escapeshellarg`, `carp-escaped=yes`
CARP 비밀번호 / advbase / advskew / subnet	`is_ipaddr` / 이스케이프됨
비인증	닫힘
HA 자격 증명 없이 동일 객체의 xmlrpc 적용	SA-26_22 skip-list
Diagnostics: Command	별도로 부여되지 않는 한 닫힌 상태 유지

랩

cd lab
./run.sh

Loopback 127.0.0.1:18830. Compose 프로젝트 pfsense-carp-vhid. 이미지 태그 pfsense-carp-vhid:2.9.0-dev. Witness PFSENSE-CARP-VHID-WITNESS. 마지막 줄:

SUCCESS PFSENSE-CARP-VHID carp-escaped=yes ipalias-unescaped=yes status-sink=yes PFSENSE-CARP-VHID-WITNESS

수정 사항

저장 시 VHID를 1-255 범위의 정수로 제한합니다. 스택형 IP Alias 적용 시와 상태 grep 시에 VHID에 escapeshellarg를 적용하며, 이는 CARP 적용이 이미 수행하는 방식과 동일합니다.

참고 자료

github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
firewall_virtual_ip.inc saveVIP
interfaces.inc 스택형 ipalias mwexec
pfsense-utils.inc CARP 상태 grep
CWE-78

pfsense-carp-vhid

인기

pfsense-carp-vhid

공격자가 할 수 있는 일

닫힌 상태로 유지되는 인접 표면

랩

수정 사항

참고 자료