abraxas/pfsense-limiter-numberpfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - RCE - limiter number dnctl
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-limiter-number
분석 문서: https://abraxaslabs.tech/research/pfsense-limiter-number
분류: RCE 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
트래픽 셰이퍼 리미터(Traffic Shaper Limiters)는 편집 시 숨겨진 number 필드를 내보낸다. 생성(Create)은 그 번호를 dnpipe_find_nextnumber()로 덮어쓴다. 편집(Edit)은 그렇지 않다. validate_input은 number를 절대 검사하지 않는다. GetNumber()는 dnctl pipe|sched|queue delete에 따옴표 없이 연결된다. PHP mwexec는 /bin/sh -c이다. 권한은 Diagnostics: Command가 아니라 page-firewall-trafficshaper-limiter이다.
| ID | 아직 CVE 없음 |
| 분류 | RCE |
| 도달 범위 | 원격 (인증된 WebGUI) |
| CWE | CWE-78 |
| CVSS | 높음: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향 받음 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) 리미터 number |
| 인증 | page-firewall-trafficshaper-limiter 권한이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했다. 랩은 고정된 ReadConfig / SetNumber / delete_queue의 PHP 가젯이다. 루프백 127.0.0.1:18840.
| 방법 | 싱크 | 권한 |
|---|---|---|
리미터를 생성하고, 공격자가 지정한 number로 POST 저장한 뒤, 해당 리미터를 삭제 | mwexec("/sbin/dnctl pipe delete " . $this->GetNumber()) (shaper.inc:3820) | 무결성 (랩 입증): root 셸. 랩: edit-delete가 증거를 기록함(edit-delete-exec=yes). 생성 덮어쓰기와 apply-file 경로는 아무것도 기록하지 않음. |
| 동일한 root 셸 | 호스트 파일시스템 | 정찰 (추론): config.xml, 키. |
root 셸 또는 공격자 번호의 dnctl | dummynet | 가용성 (추론): 리미터 / dummynet 교란. |
랩 입증 vs 추론: 생성 덮어쓰기(증거 없음), apply-file 경로(파일의 dnctl, 증거 없음), edit-delete 실행(증거 있음)은 랩에서 입증되었다. 파일시스템 정찰은 root PHP-FPM으로부터 추론한 것이다.
요구 사항: page-firewall-trafficshaper-limiter 권한이 있는 WebGUI 세션. POST 저장 시 CSRF. 삭제는 GET action=delete.
| 표면 | 랩 |
|---|---|
| 생성 경로 | dnpipe_find_nextnumber()가 덮어씀, create-overwrites=yes |
| 적용 경로 | /tmp/rules.limiter의 dnctl, 파일명은 사용자 제어 불가, apply-file=yes |
| 리미터 이름 문자 집합 | ^[a-zA-Z0-9_-]+$ |
| 비인증 | 닫힘 |
| Diagnostics: Command | 별도로 부여되지 않는 한 닫힌 채로 유지 |
/tmp/rules.limiter로 들어가는 AQM 파라미터는 추가적인 dummynet 언어이며, 이 잔여 취약점과는 무관하다.
cd lab
./run.sh
Loopback 127.0.0.1:18840. Compose 프로젝트 pfsense-limiter-number. 이미지 태그 pfsense-limiter-number:2.9.0-dev. Witness PFSENSE-LIMITER-NUMBER-WITNESS. 마지막 줄:
SUCCESS PFSENSE-LIMITER-NUMBER create-overwrites=yes apply-file=yes edit-delete-exec=yes PFSENSE-LIMITER-NUMBER-WITNESS
모든 dnctl 앞에서 GetNumber()를 int로 캐스팅합니다. 편집 시 POST number를 무시하거나, 활성 dummynet id와 범위 검사를 수행합니다. 생성은 이미 덮어쓰기를 수행하므로, 편집도 동일하게 동작하도록 만듭니다.
9363ac5b8651a1c7a333180425ce7719070f95f9shaper.inc delete_queue / GetNumberfirewall_shaper_vinterface.php