abraxas/pfsense-cp-maxprocperippfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - 구성 주입 - CP maxprocperip nginx
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-cp-maxprocperip
클래스: 구성 주입 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
정수 검사는 사용되지 않는 POST maxproc에 적용됩니다. maxprocperip는 원시 상태로 저장되어 server{} 내부에서 limit_conn addr $maxprocperip;로 출력됩니다. 추가 location/alias가 허용됩니다.
| ID | 아직 CVE 없음 |
| 클래스 | 구성 주입 |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-94 |
| CVSS | 높음: 7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L |
| 제품 | pfSense CE |
| 영향 받음 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | plant with page-services-captiveportal; then unauth on the portal listener이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했습니다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:19120에서 루프백 HTTP를 사용합니다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| POST services_captiveportal.php maxprocperip, then unauth GET portal vhost | system_generate_nginx_config limit_conn addr $maxprocperip; | 무결성: 랩에서 입증됨: CP server{} 내부에 추가 location /p { alias /oracle/; }. nginx -t 통과. |
| 동일한 잔여물 | 동일한 싱크 | 정찰: 랩에서 입증됨: 해당 location에 대한 unauth GET이 GUI가 아닌 포털 vhost에서 심어둔 파일을 반환했습니다. 호스트 RCE는 입증되지 않음. |
| 동일한 잔여물 | 동일한 싱크 | 가용성: 추론됨: 유효하지 않은 nginx는 해당 zone을 시작하지 못함. |
필요 조건: plant with page-services-captiveportal; then unauth on the portal listener. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.
필요 조건: plant with page-services-captiveportal; then unauth on the portal listener. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.
GUI nginx (captive_portal=false). Unauth plant. 호스트 RCE.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없음.
cd lab
./run.sh
루프백 127.0.0.1:19120. Compose 프로젝트 pfsense-cp-maxprocperip. Witness PFSENSE-CP-MAXPROCPERIP-WITNESS. 루프백 전용: 127.0.0.1:19120. Compose 프로젝트 pfsense-cp-maxprocperip. Witness PFSENSE-CP-MAXPROCPERIP-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체됩니다.
마지막 줄:
SUCCESS PFSENSE-CP-MAXPROCPERIP control-limit-conn=yes nginx-t-control=yes trigger-inject=yes nginx-t-trigger=yes host-read=yes fail-to-start=no PFSENSE-CP-MAXPROCPERIP-WITNESS
is_numericint maxprocperip. 중괄호/세미콜론을 거부하십시오.
9363ac5b8651a1c7a333180425ce7719070f95f9