abraxas/pfsense-pppoe-secret-bangpfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - RCE - PPPoE mpd.secret bang
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-pppoe-secret-bang
분류: RCE 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
사용자 이름 문자 집합이 CR/LF를 허용합니다. 비밀번호 ! 제거(#10275)는 비밀번호 앞의 !만 ltrim합니다. mpd는 !를 외부 비밀번호 헬퍼로 root 권한으로 실행합니다. 직접 POST는 개행 문자를 유지하고, 브라우저 type=text는 이를 제거합니다.
| ID | 아직 CVE 없음 |
| 분류 | RCE |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-78 |
| CVSS | 높음: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향받음 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-services-pppoeserver-edit 권한이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했습니다. 랩은 고정된 싱크의 PHP 가젯으로, 127.0.0.1:18980에서 루프백 HTTP를 사용합니다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| CR/LF가 포함된 username으로 services_pppoe_edit.php POST | vpn_pppoe_updatesecret mpd.secret ! 헬퍼 | 무결성: 랩에서 입증됨: username 개행 문자와 ! 헬퍼 라인; 스텁 PAP/CHAP가 헬퍼를 실행하고 증거를 기록했습니다. 비밀번호 ! GUI는 거부됨. |
| 동일한 잔여 취약점 | 동일한 싱크 | 정찰: 추론됨: 헬퍼 stdout은 사용되지 않음. |
| 동일한 잔여 취약점 | 동일한 싱크 | 가용성: 입증된 바 없음. |
요구 사항: page-services-pppoeserver-edit. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root 권한.
요구 사항: page-services-pppoeserver-edit. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root 권한. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root 권한.
비밀번호 ! GUI와 ltrim. L2TP 사용자 이름 문자 집합. 브라우저 개행 문자 제거.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없음.
cd lab
./run.sh
루프백 127.0.0.1:18980. Compose 프로젝트 pfsense-pppoe-secret-bang. 증거 PFSENSE-PPPOE-SECRET-BANG-WITNESS. 루프백 전용: 127.0.0.1:18980. Compose 프로젝트 pfsense-pppoe-secret-bang. 증거 PFSENSE-PPPOE-SECRET-BANG-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체됩니다.
마지막 줄:
SUCCESS PFSENSE-PPPOE-SECRET-BANG control-one-line=yes control-no-helper=yes password-bang-strip=yes trigger-helper=yes PFSENSE-PPPOE-SECRET-BANG-WITNESS
PPPoE 사용자 이름에서 CR/LF를 거부하십시오. L2TP와 동일한 문자 집합을 적용하십시오.
9363ac5b8651a1c7a333180425ce7719070f95f9