abraxas/pfsense-unbound-sock-timeoutpfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - RCE - Unbound sock-queue-timeout CRLF
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-unbound-sock-timeout
분류: RCE 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
sock_queue_timeout은 원시 상태로 저장됩니다. unbound.inc는 이 페이지에서 test_unbound_config 없이 sock-queue-timeout: {$sock_queue_timeout}을 출력합니다. CRLF는 include: / logfile: / python-script:를 추가합니다. #16637은 General Settings checkconf에만 해당합니다.
| ID | 아직 CVE 없음 |
| 분류 | RCE |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-74 |
| CVSS | 높음: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향받는 버전 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-services-dnsresolver-advanced 권한이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
저는 공개 master 9363ac5를 고정했습니다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:19050에서 루프백 HTTP를 사용합니다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | 싱크 | 권한 |
|---|---|---|
| POST services_unbound_advanced.php sock_queue_timeout | unbound.inc sock-queue-timeout: {$sock_queue_timeout} | 무결성: 랩에서 입증됨: 생성된 conf에 추가 include: 삽입; 스텁 unbound가 include를 따라가 심어둔 증거를 덤프함. |
| 동일한 잔여 취약점 | 동일한 싱크 | 정찰: 랩에서 입증됨: Unbound 파서가 포함된 호스트 파일을 읽음. |
| 동일한 잔여 취약점 | 동일한 싱크 | 가용성: 추정됨: 오염된 conf가 리졸버 시작을 실패시킬 수 있음. |
필요 조건: page-services-dnsresolver-advanced. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root 권한.
필요 조건: page-services-dnsresolver-advanced. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root 권한. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root 권한.
문서화된 custom_options textarea는 별개의 잔여 취약점입니다. General Settings checkconf는 이 필드를 다루지 않습니다.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command는 없습니다.
cd lab
./run.sh
루프백 127.0.0.1:19050. Compose 프로젝트 pfsense-unbound-sock-timeout. 증거 PFSENSE-UNBOUND-SOCK-TIMEOUT-WITNESS. 루프백 전용: 127.0.0.1:19050. Compose 프로젝트 pfsense-unbound-sock-timeout. 증거 PFSENSE-UNBOUND-SOCK-TIMEOUT-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체됩니다.
마지막 줄:
SUCCESS PFSENSE-UNBOUND-SOCK-TIMEOUT control-one-timeout=yes control-checkconf-pass=yes trigger-include=yes trigger-dump-witness=yes advanced-no-checkconf=yes PFSENSE-UNBOUND-SOCK-TIMEOUT-WITNESS
is_numericint sock_queue_timeout. Advanced 저장 시 test_unbound_config 실행.
9363ac5b8651a1c7a333180425ce7719070f95f9