abraxas/pfsense-rss-file-redirectpfSense CE 2.9.0-DEVELOPMENT - 중간 - 원격 - 파일 읽기 - RSS file:// 리디렉션
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-rss-file-redirect
분류: 파일 읽기 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
is_URL()은 HTTP 전용이 아니다. SimplePie의 fix_protocol()은 직접적인 file://를 http로 재작성한다. 재귀적인 3xx Location: file:///는 fix_protocol()을 호출하지 않고 file_get_contents가 해당 경로를 root 권한으로 읽는다.
| ID | 아직 CVE 없음 |
| 분류 | 파일 읽기 |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-73 |
| CVSS | 중간: 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| 제품 | pfSense CE |
| 영향받는 버전 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-dashboard-all / widgets MATCH 권한이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:19100에서 루프백 HTTP를 사용한다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| file://로 302하는 HTTP URL을 대시보드 RSS에 저장 | SimplePie File 재귀 Location file_get_contents | 무결성: 없음. 읽기 전용. |
| 동일한 잔여 취약점 | 동일한 싱크 | 정찰: 랩에서 입증됨: HTTP 302 Location: file:///가 심어둔 XML을 반환했다. 직접적인 file://는 재작성되어 제거된다. |
| 동일한 잔여 취약점 | 동일한 싱크 | 가용성: 입증된 바 없음. |
필요 조건: page-dashboard-all / widgets MATCH. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root로 실행된다.
필요 조건: page-dashboard-all / widgets MATCH. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root로 실행된다. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root로 실행된다.
이 고정 버전에서 26_04 title 인코딩. 운영자의 HTTP(S) 피드 URL이 기능이다. 직접적인 file:// 재작성.
해당 페이지가 함께 부여되지 않는 한 Diagnostics: Command는 없다.
cd lab
./run.sh
루프백 127.0.0.1:19100. Compose 프로젝트 pfsense-rss-file-redirect. Witness PFSENSE-RSS-FILE-REDIRECT-WITNESS. 루프백 전용: 127.0.0.1:19100. Compose 프로젝트 pfsense-rss-file-redirect. Witness PFSENSE-RSS-FILE-REDIRECT-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체된다.
마지막 줄:
SUCCESS PFSENSE-RSS-FILE-REDIRECT control-rewritten-away=yes trigger-file-location=yes PFSENSE-RSS-FILE-REDIRECT-WITNESS
HTTP(S) 피드만 허용하도록 강제한다. file: Location을 따라가지 않는다. CURLOPT_PROTOCOLS HTTP(S).
9363ac5b8651a1c7a333180425ce7719070f95f9