abraxas/pfsense-gw-ipv6-zonepfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - RCE - dpinger로의 IPv6 zone
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-gw-ipv6-zone
분류: RCE 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
is_ipaddrv6()는 Net_IPv6::checkIPv6를 위해 %zone을 제거하며, zone에 대한 문자셋 검사를 전혀 수행하지 않는다. start_dpinger는 {$gateway['monitor']}를 escapeshellarg 없이 mwexec에 삽입한다. monitor가 비어 있으면 게이트웨이 IP를 복사한다.
| ID | 아직 CVE 없음 |
| 분류 | RCE |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-78 |
| CVSS | 높음: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향받는 버전 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-system-gateways-editgateway then apply 권한이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했다. 랩은 고정된 싱크의 PHP 가젯으로, 127.0.0.1:18930에서 루프백 HTTP를 사용한다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| POST system_gateways_edit.php gateway/monitor IPv6%zone | start_dpinger mwexec {$gateway['monitor']} | 무결성: 랩에서 입증됨: fe80::1%eth0;w가 여전히 is_ipaddrv6를 통과했고, mwexec /bin/sh -c가 추가 w를 실행했다. |
| 동일한 잔여 취약점 | 동일한 싱크 | 정찰: 추론됨: root 셸이 호스트 파일을 읽을 수 있다. |
| 동일한 잔여 취약점 | 동일한 싱크 | 가용성: 추론됨: dpinger 모니터링을 종료하거나 교체할 수 있다. |
필요 조건: page-system-gateways-editgateway then apply. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root 권한이다.
필요 조건: page-system-gateways-editgateway then apply. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root 권한이다. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root 권한이다.
게이트웨이 이름은 is_validaliasname이다. 비인증 N/A.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없다.
cd lab
./run.sh
루프백 127.0.0.1:18930. Compose 프로젝트 pfsense-gw-ipv6-zone. Witness PFSENSE-GW-IPV6-ZONE-WITNESS. 루프백 전용: 127.0.0.1:18930. Compose 프로젝트 pfsense-gw-ipv6-zone. Witness PFSENSE-GW-IPV6-ZONE-WITNESS. 고정된 라인들의 PHP 가젯. 실행 후 스택은 해체된다.
마지막 줄:
SUCCESS PFSENSE-GW-IPV6-ZONE control-no-extra=yes trigger-extra-exec=yes PFSENSE-GW-IPV6-ZONE-WITNESS
zone에 대한 문자셋 검사를 수행하라. mwexec 전에 monitor에 escapeshellarg를 적용하라. argv 배열을 사용하는 것이 바람직하다.
9363ac5b8651a1c7a333180425ce7719070f95f9