pfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - 파일 쓰기 - CP 파일 관리자
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-cp-filemanager-write
분류: 파일 쓰기 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
업로드 이름은 basename()이 아니다. 이미 captiveportal-을 포함한 이름은 접두사가 생략된다. file_put_contents("{$g['captiveportal_element_path']}/{$data['name']}")이며 cpelements = /var/db/cpelements이다. captiveportal-.. 뒤에 남은 ../는 여전히 /까지 이동한다.
| ID | 아직 CVE 없음 |
| 분류 | 파일 쓰기 |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-22 |
| CVSS | 높음: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향받음 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-services-captiveportal-filemanager 권한이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:19000에서 루프백 HTTP를 사용한다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| POST services_captiveportal_filemanager.php 파일 이름 | file_put_contents cpelements/{$data['name']} | 무결성: 랩에서 입증됨: 이름 captiveportal-../../../../../oracle/...이 접두사를 생략하고 cpelements 외부에 기록했다. 이 플랫폼에서 루트 PHP 쓰기는 호스트 RCE이다. |
| 동일한 잔여 취약점 | 동일한 싱크 | 정찰: 추정: config.xml 또는 www PHP 덮어쓰기. |
| 동일한 잔여 취약점 | 동일한 싱크 | 가용성: 추정: 중요 파일 덮어쓰기. |
필요 조건: page-services-captiveportal-filemanager. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 루트이다.
필요 조건: page-services-captiveportal-filemanager. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 루트이다. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 루트이다.
해당 부분 문자열이 없는 이름에는 접두사가 붙으므로 그런 방식으로는 벗어날 수 없다. 포털 감옥 내부에 문서화된 PHP는 다른 기능이다.
해당 페이지도 부여되지 않는 한 Diagnostics: Command는 없다.
cd lab
./run.sh
루프백 127.0.0.1:19000. Compose 프로젝트 pfsense-cp-filemanager-write. Witness PFSENSE-CP-FILEMANAGER-WRITE-WITNESS. 루프백 전용: 127.0.0.1:19000. Compose 프로젝트 pfsense-cp-filemanager-write. Witness PFSENSE-CP-FILEMANAGER-WRITE-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체된다.
마지막 줄:
SUCCESS PFSENSE-CP-FILEMANAGER-WRITE control-prefixed=yes prefix-no-escape=yes trigger-outside=yes PFSENSE-CP-FILEMANAGER-WRITE-WITNESS
업로드 이름에 basename()을 적용한다. 항상 접두사를 붙인다. .. 를 거부한다.
9363ac5b8651a1c7a333180425ce7719070f95f9