abraxas/pfsense-ldap-name-collisionpfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - 권한 잔여 - LDAP 관리자 이름
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-ldap-name-collision
분류: 권한 잔존 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
getUserEntry($name)는 이름이 일치하면 로컬 행을 반환한다. 그러면 isAdminUID()가 uid 0을 확인하고 isAllowedPage가 모든 페이지를 허용한다. passwordmg는 세션을 로컬로 취급하고 해당 사용자의 해시를 기록한다. uid == 0은 느슨한 비교이다.
| ID | 아직 CVE 없음 |
| 분류 | 권한 잔존 |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-269 |
| CVSS | 높음: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향받음 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | authmode != Local일 때 원격 WebGUI 로그인; passwordmg는 warn-root가 아님인 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:19010에서 루프백 HTTP를 사용한다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| 로컬 관리자 이름으로 LDAP/RADIUS 바인드 후 passwordmg에 POST | getUserEntry / isAdminUID / local_user_set_password | 무결성: 랩에서 입증됨: 원격 관리자는 isAdminUID임; diag_command를 포함한 모든 페이지; passwordmg가 uid 0 해시를 설정함. 스텁 전용 원격 이름은 안전하게 실패함. |
| 동일한 잔존 | 동일한 싱크 | 정찰: 랩에서 입증됨: 모든 페이지에 대한 허용 플래그. |
| 동일한 잔존 | 동일한 싱크 | 가용성: 표시된 것 없음. |
요구 사항: authmode != Local일 때 원격 WebGUI 로그인; passwordmg는 warn-root가 아님. 별도 언급이 없는 한 POST에 CSRF-magic. WebGUI PHP-FPM은 root임.
요구 사항: authmode != Local일 때 원격 WebGUI 로그인; passwordmg는 warn-root가 아님. 별도 언급이 없는 한 POST에 CSRF-magic. WebGUI PHP-FPM은 root임. 별도 언급이 없는 한 POST에 CSRF-magic. WebGUI PHP-FPM은 root임.
스텁 전용 원격 이름. usermanager 자체는 warn-root임. SA-26_22 xmlrpc uid skip은 다른 버그임.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없음.
cd lab
./run.sh
루프백 127.0.0.1:19010. Compose 프로젝트 pfsense-ldap-name-collision. Witness PFSENSE-LDAP-NAME-COLLISION-WITNESS. 루프백 전용: 127.0.0.1:19010. Compose 프로젝트 pfsense-ldap-name-collision. Witness PFSENSE-LDAP-NAME-COLLISION-WITNESS. 고정된 라인들의 PHP 가젯. 실행 후 스택은 해체됨.
마지막 줄:
SUCCESS PFSENSE-LDAP-NAME-COLLISION control-isadmin=no control-diag=no control-hash-unchanged=yes trigger-isadmin=yes trigger-all-pages=yes trigger-hash-set=yes uid-loose-eq=yes PFSENSE-LDAP-NAME-COLLISION-WITNESS
원격 이름을 로컬 uid 0 행에 매핑하지 말 것. 엄격한 uid === '0'과 인증 소스를 사용할 것. passwordmg를 warn-root로 만들 것.
9363ac5b8651a1c7a333180425ce7719070f95f9