abraxas/pfsense-cp-filename-xsspfSense CE 2.9.0-DEVELOPMENT - 중간 - 원격 - XSS - CP 파일명 저장형 XSS
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-cp-filename-xss
분류: XSS 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
파일명이 기본 로그인 HTML의 / CSS url(...)에 인코딩 없이 삽입됩니다. 포털 오리진은 GUI 오리진이 아닙니다. SA-26_05는 GUI 위젯입니다.
| ID | 아직 CVE 없음 |
| 분류 | XSS |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-79 |
| CVSS | 중간: 6.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| 제품 | pfSense CE |
| 영향받는 버전 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | plant with page-services-captiveportal-filemanager; victim is an unauth portal client 권한을 가진 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했습니다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:19110에서 루프백 HTTP를 사용합니다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| 파일 관리자 이름을 POST한 뒤, 인증 없이 포털 로그인 HTML GET | get_default_captive_portal_html img src={$logo_src} | 무결성: 추론: 포털 로그인 페이지의 스크립트가 해당 페이지의 auth_user / auth_pass를 읽을 수 있음. |
| 동일한 잔여물 | 동일한 싱크 | 정찰: 랩에서 입증됨: 인증 없는 포털 HTML에 원시 onerror=와 witness가 존재. GUI 목록은 같은 이름을 htmlspecialchars로 인코딩했음. |
| 동일한 잔여물 | 동일한 싱크 | 가용성: 입증된 바 없음. |
요구 사항: plant with page-services-captiveportal-filemanager; victim is an unauth portal client. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.
요구 사항: plant with page-services-captiveportal-filemanager; victim is an unauth portal client. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.
GUI 쿠키. 파일 관리자 목록 인코딩. SA-26_05 위젯.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없음.
cd lab
./run.sh
루프백 127.0.0.1:19110. Compose 프로젝트 pfsense-cp-filename-xss. Witness PFSENSE-CP-FILENAME-XSS-WITNESS. 루프백 전용: 127.0.0.1:19110. Compose 프로젝트 pfsense-cp-filename-xss. Witness PFSENSE-CP-FILENAME-XSS-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체됩니다.
마지막 줄:
SUCCESS PFSENSE-CP-FILENAME-XSS control-inert=yes trigger-raw=yes witness-unescaped=yes gui-cookie-theft=no PFSENSE-CP-FILENAME-XSS-WITNESS
포털 HTML에서 파일명에 htmlspecialchars를 적용하십시오. 업로드 문자 집합을 제한하십시오.
9363ac5b8651a1c7a333180425ce7719070f95f9