abraxas/pfsense-l2tp-radius-mpdpfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - RCE - L2TP RADIUS mpd.conf
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-l2tp-radius-mpd
분류: RCE 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
vpn.inc는 "{$radiussecret}"를 따옴표로 감싸지만 이스케이프하지 않고 보간합니다. PPP 클라이언트는 get_mpd_str()을 사용하지만 서버는 사용하지 않습니다. 추가 set iface up-script가 우선합니다. #16128은 클라이언트 전용입니다.
| ID | 아직 CVE 없음 |
| 분류 | RCE |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-78 |
| CVSS | 높음: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향받는 버전 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-vpn-vpnl2tp (sibling page-services-pppoeserver-edit) 권한이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했습니다. 랩은 고정된 싱크의 PHP 가젯으로, 127.0.0.1:18960에서 루프백 HTTP를 사용합니다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| POST vpn_l2tp.php radius secret | vpn.inc set radius server ... "{$radiussecret}" | 무결성: 랩에서 입증됨: 따옴표를 닫는 secret이 set iface up-script를 추가했고, 스텁 mpd의 last-wins가 이를 실행하여 증거를 기록했습니다. 이 경로에는 get_mpd_str이 없습니다. |
| 동일한 잔여 취약점 | 동일한 싱크 | 정찰: 추론됨: up-script가 다음 L2TP 세션에서 root로 실행됩니다. |
| 동일한 잔여 취약점 | 동일한 싱크 | 가용성: 추론됨: mpd 파싱 / VPN 서비스를 중단시킵니다. |
요구 사항: page-vpn-vpnl2tp (sibling page-services-pppoeserver-edit). 별도 언급이 없는 한 POST에 CSRF-magic이 적용됩니다. WebGUI PHP-FPM은 root입니다.
요구 사항: page-vpn-vpnl2tp (sibling page-services-pppoeserver-edit). 별도 언급이 없는 한 POST에 CSRF-magic이 적용됩니다. WebGUI PHP-FPM은 root입니다. 별도 언급이 없는 한 POST에 CSRF-magic이 적용됩니다. WebGUI PHP-FPM은 root입니다.
PPP 클라이언트 get_mpd_str은 이미 이 핀에 있습니다. CONTROL secret은 증거를 기록하지 않습니다.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없습니다.
cd lab
./run.sh
루프백 127.0.0.1:18960. Compose 프로젝트 pfsense-l2tp-radius-mpd. 증거 PFSENSE-L2TP-RADIUS-MPD-WITNESS. 루프백 전용: 127.0.0.1:18960. Compose 프로젝트 pfsense-l2tp-radius-mpd. 증거 PFSENSE-L2TP-RADIUS-MPD-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체됩니다.
마지막 줄:
SUCCESS PFSENSE-L2TP-RADIUS-MPD control-quoted-secret=1 control-extra-up-script=no control-witness=no trigger-extra-up-script=yes trigger-last-wins=yes trigger-witness=yes get_mpd_str=no PFSENSE-L2TP-RADIUS-MPD-WITNESS
L2TP 및 PPPoE 서버 구성 시 RADIUS secret을 get_mpd_str을 통해 처리하십시오.
9363ac5b8651a1c7a333180425ce7719070f95f9