pfsense-carp-vhid

Class: RCE Reach: Remote

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

Virtual IP 편집은 POST로 전달된 CARP VHID를 1-255 검사 없이 저장합니다. Form_Select 옵션은 HTML 전용입니다. CARP 적용은 VHID를 escapeshellarg 처리합니다. 중첩된 IP Alias 적용은 vhid {$carpvip['vhid']}를 escapeshellarg 바깥에서 보간합니다. CARP 상태는 동일하게 저장된 VHID를 큰따옴표로 묶인 grep 파이프라인에 보간합니다. 세미콜론은 인용된 상태로 유지되지만, 명령 치환은 여전히 /bin/sh -c에서 실행됩니다. 필요한 권한은 VIP 편집 + 적용이며, Diagnostics: Command가 아닙니다.


ID	아직 CVE 없음
Class	RCE
Reach	Remote (인증된 WebGUI)
CWE	CWE-78
CVSS	High: 8.8 `CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
Product	pfSense CE
Affected	2.9.0-DEVELOPMENT (`9363ac5b8651a1c7a333180425ce7719070f95f9`) CARP VHID
Auth	VIP 편집 + 적용 권한이 있는 WebGUI 세션 (상태/위젯은 이후 트리거)
License	GNU Affero GPL v3.0
Lab	`127.0.0.1` 전용

공개 master 9363ac5를 고정했습니다. 랩은 고정된 interface_carp_configure, 중첩된 ipalias mwexec, 상태 exec로 구성된 PHP 가젯입니다. 루프백 127.0.0.1:18830.

공격자가 할 수 있는 일

Method	Sink	Privilege
정수가 아닌 VHID로 carp VIP를 POST한 뒤, 해당 `_vip{uniqid}` 부모에 중첩된 IP Alias를 적용	`mwexec` `ifconfig ... alias {$gateway} {$vhid}` (`interfaces.inc:3238`)	Integrity (랩 검증): root 셸. 랩: ipalias-unescaped가 witness를 기록했습니다. 동일한 VHID의 CARP 적용은 아무것도 기록하지 않았습니다 (`carp-escaped=yes`).
동일하게 저장된 VHID로 `status_carp.php`를 GET하거나 `carp_status.widget.php`를 렌더링	`exec` grep 파이프라인 (`pfsense-utils.inc:794`)	Integrity (랩 검증): 큰따옴표 내부의 명령 치환이 실행되어 witness를 기록했습니다 (`status-sink=yes`, `status-subst=yes`). 세미콜론은 인용된 상태로 유지되었습니다. 위젯 트리거는 다른 GUI 세션일 수 있습니다.
동일한 root 셸	호스트 파일시스템	Recon (추정): `config.xml`, 키.
root 셸 또는 손상된 `ifconfig`	CARP / alias 장치	Availability (추정): 인터페이스 / CARP / 필터 중단.

랩 검증 vs 추정: carp-escaped, ipalias-unescaped witness, 상태 명령 치환 witness는 랩 검증되었습니다. 파일시스템 정찰과 필터 중단은 root PHP-FPM에서 추정한 것입니다.

필요 조건: page-firewall-virtualipaddress-edit (저장) 및 page-firewall-virtualipaddresses (적용). 상태 sink: page-status-carp 또는 CARP 위젯이 있는 모든 대시보드. POST에 대한 CSRF.

닫힌 상태로 유지되는 인접 공격면

Surface	Lab
CARP 적용 자체	VHID에 `escapeshellarg`, `carp-escaped=yes`
CARP password / advbase / advskew / subnet	`is_ipaddr` / 이스케이프됨
비인증	닫힘
HA 자격 증명 없이 동일 객체의 xmlrpc 적용	SA-26_22 skip-list
Diagnostics: Command	별도로 부여되지 않는 한 닫힌 상태 유지

Lab

cd lab
./run.sh

루프백 127.0.0.1:18830. Compose 프로젝트 pfsense-carp-vhid. 이미지 태그 pfsense-carp-vhid:2.9.0-dev. Witness PFSENSE-CARP-VHID-WITNESS. 마지막 줄:

SUCCESS PFSENSE-CARP-VHID carp-escaped=yes ipalias-unescaped=yes status-sink=yes PFSENSE-CARP-VHID-WITNESS

수정 방법

저장 시 VHID를 1-255 정수 범위로 제한하십시오. 중첩된 IP Alias 적용과 상태 grep에서 VHID를 CARP 적용이 이미 하는 것과 동일한 방식으로 escapeshellarg 처리하십시오.

참고 자료

github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
firewall_virtual_ip.inc saveVIP
interfaces.inc 중첩된 ipalias mwexec
pfsense-utils.inc CARP 상태 grep
CWE-78

pfsense-carp-vhid

인기

pfsense-carp-vhid

공격자가 할 수 있는 일

닫힌 상태로 유지되는 인접 공격면

Lab

수정 방법

참고 자료