pfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - RCE - OpenVPN wizard CRLF
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-openvpn-wizard-crlf
분류: RCE 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
OpenVPN 마법사는 Default Domain / NetBIOS scope를 is_domain() 검사 없이 dns_domain / netbios_scope로 복사한 뒤, openvpn_add_dhcpopts()가 이를 이미 script-security 3가 설정된 서버 config.ovpn에 기록합니다. 따옴표와 LF를 사용하면 push "dhcp-option ..." 라인을 닫고 up을 포함한 서버 지시문을 추가할 수 있습니다. 권한은 OpenVPN 고급이 아닌 Wizard Subsystem입니다. vpn_openvpn_server.php만 지목한 SA-26_07의 형제 취약점입니다.
| ID | 아직 CVE 없음 |
| 분류 | RCE |
| 도달 범위 | 원격 (인증된 WebGUI) |
| CWE | CWE-74 / CWE-78 |
| CVSS | High: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향받는 버전 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) OpenVPN 마법사 |
| 인증 | page-pfsensewizardsubsystem 권한이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했습니다. 랩은 고정된 마법사 할당과 openvpn_add_dhcpopts, 그리고 tun0의 OpenVPN 2.6.14로 구성됩니다. 루프백 127.0.0.1:18820. 만약 2.9.0-RELEASE에서 이 헬퍼가 벗어났다면, 이는 SA-26_07과 동일한 SA입니다.
| 방법 | 싱크 | 권한 |
|---|---|---|
OpenVPN Remote Access 마법사를 완료하고, Default Domain(또는 NetBIOS scope)을 push 라인을 닫고 up을 추가하는 값으로 설정 | script-security 3(:905)가 설정된 서버 config.ovpn(openvpn.inc:697-738)에 openvpn_add_dhcpopts 기록 | 무결성 (랩 입증): OpenVPN 2.6.14가 tun0에서 해당 up을 실행하고 증거(up-exec=yes)를 기록했습니다. 대조군 example.com은 단일 DOMAIN push로 유지되었습니다. |
| 동일한 호스트 명령 | 데몬 사용자(pfSense에서는 root)로 OpenVPN up 실행 | 정찰 (추정): 호스트 파일시스템, config.xml, 키. |
| OpenVPN 설정 또는 호스트 명령 손상 | OpenVPN 서버 | 가용성 (추정): OpenVPN / 방화벽 중단. |
랩 입증 vs 추정: 마법사 할당, dhcpopts up, script-security 3, 대조군 정상, tun0 up-exec는 랩에서 입증되었습니다. 파일시스템 정찰은 up 프로세스로부터 추정됩니다. CCD 블롭에 동일한 오염을 넣은 경우는 실행되지 않았습니다(ccd-up-ignored=yes).
요구 사항: page-pfsensewizardsubsystem 권한이 있는 WebGUI 세션. CSRF 토큰. page-openvpn-server 또는 page-openvpn-server-advanced는 필요하지 않습니다.
| 공격 표면 | 랩 |
|---|---|
대조군 도메인 example.com | 단일 DOMAIN push, control-clean=yes |
CCD up (OpenVPN 2.6 서브셋) | ccd-up-ignored=yes |
| 미인증 / 토큰 없는 CSRF | 닫힘 |
OpenVPN custom_options | 의도된 고급 권한 |
| Diagnostics: Command | 별도로 부여되지 않는 한 닫힌 상태 유지 |
cd lab
./run.sh
루프백 127.0.0.1:18820. Compose 프로젝트 pfsense-openvpn-wizard-crlf. 이미지 태그 pfsense-openvpn-wizard-crlf:2.9.0-dev. 증거 PFSENSE-OPENVPN-WIZARD-CRLF-WITNESS. 마지막 줄:
SUCCESS PFSENSE-OPENVPN-WIZARD-CRLF wizard-assign=yes dhcpopts-up=yes script-security-3=yes control-clean=yes up-exec=yes PFSENSE-OPENVPN-WIZARD-CRLF-WITNESS
IPsec mobile이 이미 하는 것처럼, 마법사의 defaultdomain / nbtscope가 dns_domain / netbios_scope가 되기 전에 is_domain()(또는 CR/LF/따옴표 제거)을 적용하십시오. 마법사를 포함한 모든 호출자를 보호하도록 openvpn_add_dhcpopts() 내부에서 정제하십시오.
9363ac5b8651a1c7a333180425ce7719070f95f9openvpn_wizard.incopenvpn.inc openvpn_add_dhcpoptsfd301381 (이 공개 트리에는 없음)