pfsense-dhcpd-conf

분류: 설정 주입 도달 범위: 원격

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

services_dhcpdv4_configure는 filename "{$sm['filename']}";를 addslashes 없이 보간합니다. GUI는 $_POST['filename']을 따옴표/줄바꿈 검사 없이 저장합니다. Kea JSON은 SA-26_20에서 제외됩니다.


ID	아직 CVE 없음
분류	설정 주입
도달 범위	원격 (별도 언급이 없는 한 인증된 WebGUI)
CWE	CWE-74
CVSS	중간: 5.4 `CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L`
제품	pfSense CE
영향받는 버전	2.9.0-DEVELOPMENT (`9363ac5b8651a1c7a333180425ce7719070f95f9`)
인증	`page-services-dhcpserver-editstaticmapping` 권한이 있는 WebGUI 세션
라이선스	GNU Affero GPL v3.0
랩	`127.0.0.1` 전용

저는 공개 master 9363ac5를 고정했습니다. 랩은 고정된 싱크의 PHP 가젯으로, 127.0.0.1:19250에서 루프백 HTTP를 사용합니다.

시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers

공격자가 할 수 있는 일

방법	싱크	권한
POST services_dhcp_edit.php filename	filename "{$sm['filename']}";	무결성: 랩에서 입증됨: chroot conf에 추가 옵션 tftp-server-name. Filename은 argv에 도달하지 않음.
동일한 잔여 취약점	동일한 싱크	정찰: 입증된 것 없음.
동일한 잔여 취약점	동일한 싱크	가용성: 추정: dhcpd 파싱 실패 또는 추가 PXE 옵션.

요구 사항: page-services-dhcpserver-editstaticmapping. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.

요구 사항: page-services-dhcpserver-editstaticmapping. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.

닫힌 상태로 유지되는 인접 공격 표면

호스트 셸. chroot 외부의 파일. Kea JSON. hostname 문자 집합. numberoptions 텍스트 따옴표.

해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없음.

랩

cd lab
./run.sh

루프백 127.0.0.1:19250. Compose 프로젝트 pfsense-dhcpd-conf. Witness PFSENSE-DHCPD-CONF-WITNESS. 루프백 전용: 127.0.0.1:19250. Compose 프로젝트 pfsense-dhcpd-conf. Witness PFSENSE-DHCPD-CONF-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체됩니다.

마지막 줄:

SUCCESS PFSENSE-DHCPD-CONF control-one-filename=yes trigger-extra-statement=yes PFSENSE-DHCPD-CONF-WITNESS

수정

filename/rootpath/ldap/DUID에서 addslashes 적용 / 따옴표와 줄바꿈 거부.

참고 자료

github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
CWE-74
시리즈: https://abraxaslabs.tech/research/pfsense-ce-leftovers

pfsense-dhcpd-conf

인기

pfsense-dhcpd-conf

공격자가 할 수 있는 일

닫힌 상태로 유지되는 인접 공격 표면

랩

수정

참고 자료