abraxas/pfsense-limiter-aqmpfSense CE 2.9.0-DEVELOPMENT - 중간 - 원격 - 구성 주입 - limiter AQM 개행
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-limiter-aqm
분류: 설정 주입 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
AQM 매개변수를 FormatParameters / vsprintf로 /tmp/rules.limiter에 기록한 뒤, mwexec("/sbin/dnctl {$g['tmp_path']}/rules.limiter")를 실행한다. Apply argv는 해당 파일 경로이다. 숨겨진 숫자 삭제는 이미 보고된 별개의 잔여 문제이다.
| ID | 아직 CVE 없음 |
| 분류 | 설정 주입 |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-74 |
| CVSS | 중간: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
| 제품 | pfSense CE |
| 영향받는 버전 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-firewall-trafficshaper-limiter 권한이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:19260에서 루프백 HTTP를 사용한다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| POST firewall_shaper_vinterface.php AQM target/interval | vsprintf로 /tmp/rules.limiter에 기록한 뒤 해당 경로를 dnctl로 실행 | 무결성: 랩에서 입증됨: rules.limiter에 추가 pipe 라인 삽입. Apply argv는 해당 경로의 dnctl로 유지됨. 셸은 아님. |
| 동일한 잔여 문제 | 동일한 싱크 | 정찰: 랩에서 입증됨: witness가 argv에 없음. |
| 동일한 잔여 문제 | 동일한 싱크 | 가용성: 추정됨: apply 이후 악의적인 dummynet pipe. |
필요 조건: page-firewall-trafficshaper-limiter. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.
필요 조건: page-firewall-trafficshaper-limiter. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.
셸은 아님. Limiter 이름은 문자 집합 제한을 유지함. Create overwrite 및 delete concat은 이미 메일로 보고됨.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없음.
cd lab
./run.sh
루프백 127.0.0.1:19260. Compose 프로젝트 pfsense-limiter-aqm. Witness PFSENSE-LIMITER-AQM-WITNESS. 루프백 전용: 127.0.0.1:19260. Compose 프로젝트 pfsense-limiter-aqm. Witness PFSENSE-LIMITER-AQM-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체됨.
마지막 줄:
SUCCESS PFSENSE-LIMITER-AQM control-one-pipe-line=yes trigger-extra-dnctl=yes apply-file-argv=yes PFSENSE-LIMITER-AQM-WITNESS
AQM 매개변수를 숫자로 검사할 것. CR/LF를 거부할 것.
9363ac5b8651a1c7a333180425ce7719070f95f9