abraxas/pfsense-ovpn-learn-cnpfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - RCE - OpenVPN learn-address CN
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-ovpn-learn-cn
분류: RCE 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
openvpn.learn-address.sh는 CN을 su -m unbound -c "... local_data ${CN}.${DOMAIN} ..."에 따옴표 없이 삽입합니다. unbound/regovpnclients에 의해 제한됩니다. 셸 문자 없이도 CN은 local-data를 심을 수 있습니다.
| ID | 아직 CVE 없음 |
| 분류 | RCE |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-78 |
| CVSS | 높음: 8.1 CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향 받음 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | Unbound Register OpenVPN clients가 켜져 있을 때 OpenVPN cert client CN이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
저는 공개 master 9363ac5를 고정했습니다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:19080에서 루프백 HTTP를 사용합니다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| 악의적인 CN을 사용한 OpenVPN learn-address | openvpn.learn-address.sh su -m unbound -c ... ${CN} | 무결성: 랩에서 입증됨: CN $(w)가 su -c 문자열로서 추가 w를 실행했습니다. CONTROL 또한 정제되지 않은 local-data를 심었습니다. |
| 동일한 잔여 코드 | 동일한 싱크 | 정찰: 추정됨: unbound로서 명령 실행. |
| 동일한 잔여 코드 | 동일한 싱크 | 가용성: 추정됨: 리졸버 local-data 오염. |
요구 사항: Unbound Register OpenVPN clients가 켜져 있을 때 OpenVPN cert client CN. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root입니다.
요구 사항: Unbound Register OpenVPN clients가 켜져 있을 때 OpenVPN cert client CN. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root입니다. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root입니다.
Register OpenVPN clients가 활성화되지 않으면 꺼져 있습니다. 로컬 CN 문자 집합은 여전히 일부 문자를 허용할 수 있습니다.
해당 페이지도 허용되지 않는 한 Diagnostics: Command는 없습니다.
cd lab
./run.sh
루프백 127.0.0.1:19080. Compose 프로젝트 pfsense-ovpn-learn-cn. Witness PFSENSE-OVPN-LEARN-CN-WITNESS. 루프백 전용: 127.0.0.1:19080. Compose 프로젝트 pfsense-ovpn-learn-cn. Witness PFSENSE-OVPN-LEARN-CN-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체됩니다.
마지막 줄:
SUCCESS PFSENSE-OVPN-LEARN-CN control-local-data=yes control-no-witness=yes m24-local-data-plant=yes trigger-exec=yes PFSENSE-OVPN-LEARN-CN-WITNESS
CN을 인용하세요. 셸 메타문자를 거부하세요. 셸 없이 unbound-control을 통해 local-data를 유지하세요.
9363ac5b8651a1c7a333180425ce7719070f95f9