abraxas/pfsense-dyndns-cache-pathpfSense CE 2.9.0-DEVELOPMENT - 중간 - 원격 - 파일 쓰기 - DynDNS 캐시 경로
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-dyndns-cache-path
분류: 파일 쓰기 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
사용자 지정 호스트가 is_domain()을 건너뜁니다. updatedns는 캐시 경로를 /conf/dyndns_{if}{type}에 escapeshellarg($FQDN)와 {id}.cache를 더한 형태로 구성합니다. 따옴표는 파일 이름 바이트이며, /는 여전히 경로를 분할합니다. 내용은 IP|epoch이며 셸이 아닙니다.
| ID | 아직 CVE 없음 |
| 분류 | 파일 쓰기 |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-22 |
| CVSS | 중간: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
| 제품 | pfSense CE |
| 영향받음 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-services-dynamicdnsclient 권한이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
저는 공개 master 9363ac5를 고정했습니다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:19270에서 루프백 HTTP를 사용합니다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| POST services_dyndns_edit.php 사용자 지정 호스트 이름에 / 포함 | escapeshellarg($FQDN)를 사용하는 file_put_contents 캐시 경로 | 무결성: 랩에서 입증됨: /가 포함된 호스트 이름이 /conf 외부에 IP |
| 동일한 잔여 취약점 | 동일한 싱크 | 정찰: 없음. 내용은 IP |
| 동일한 잔여 취약점 | 동일한 싱크 | 가용성: 추론됨: 따옴표로 묶인 접미사와 이름이 일치하는 파일을 덮어쓸 수 있습니다. |
필요 조건: page-services-dynamicdnsclient. 별도 언급이 없는 한 POST에 CSRF-magic이 적용됩니다. WebGUI PHP-FPM은 root입니다.
필요 조건: page-services-dynamicdnsclient. 별도 언급이 없는 한 POST에 CSRF-magic이 적용됩니다. WebGUI PHP-FPM은 root입니다. 별도 언급이 없는 한 POST에 CSRF-magic이 적용됩니다. WebGUI PHP-FPM은 root입니다.
비인증. FQDN의 mwexec. *.cache의 cron/php exec. Non-Custom dyndns는 해당 호스트를 거부합니다.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없습니다.
cd lab
./run.sh
루프백 127.0.0.1:19270. Compose 프로젝트 pfsense-dyndns-cache-path. Witness PFSENSE-DYNDNS-CACHE-PATH-WITNESS. 루프백 전용: 127.0.0.1:19270. Compose 프로젝트 pfsense-dyndns-cache-path. Witness PFSENSE-DYNDNS-CACHE-PATH-WITNESS. 고정된 라인들의 PHP 가젯. 실행 후 스택은 해체됩니다.
마지막 줄:
SUCCESS PFSENSE-DYNDNS-CACHE-PATH control-under-conf=yes trigger-outside-conf=yes PFSENSE-DYNDNS-CACHE-PATH-WITNESS
파일 이름으로 escapeshellarg를 사용하지 마십시오. 호스트에 basename / is_domain을 적용하십시오.
9363ac5b8651a1c7a333180425ce7719070f95f9