abraxas/pfsense-uploadconfigpfSense CE 2.9.0-DEVELOPMENT - 높음 - 원격 - 권한 잔여 - 숨겨진 uploadconfig
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-uploadconfig
분류: 권한 잔존 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
uploadconfig.php POST config=는 config_install()을 호출한 뒤 system_reboot()를 호출한다. IDENT에는 warn-root가 없다. diag_backup.php는 동일 클래스에 대해 warn-root이다.
| ID | 아직 CVE 없음 |
| 분류 | 권한 잔존 |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-269 |
| CVSS | 높음: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 제품 | pfSense CE |
| 영향받음 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-hidden-uploadconfiguration이 있는 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했다. 랩은 고정된 싱크의 PHP 가젯이며, 127.0.0.1:19030에서 루프백 HTTP를 사용한다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 메서드 | 싱크 | 권한 |
|---|---|---|
| POST uploadconfig.php config= | config_install 후 system_reboot | 무결성: 랩에서 입증됨: POST config=가 블롭을 설치하고 재부팅을 설정했다. POST 없는 GET은 설치하지 않았다. |
| 동일한 잔존 | 동일한 싱크 | 정찰: 추론됨: 공격자가 선택한 config.xml은 완전한 장치 탈취이다. |
| 동일한 잔존 | 동일한 싱크 | 가용성: 랩에서 입증됨: 재부팅이 요청됨. |
요구 사항: page-hidden-uploadconfiguration. 별도 언급이 없는 한 POST에 CSRF-magic. WebGUI PHP-FPM은 root이다.
요구 사항: page-hidden-uploadconfiguration. 별도 언급이 없는 한 POST에 CSRF-magic. WebGUI PHP-FPM은 root이다. 별도 언급이 없는 한 POST에 CSRF-magic. WebGUI PHP-FPM은 root이다.
diag_backup.php warn-root. 비인증 해당 없음.
해당 페이지도 부여되지 않는 한 Diagnostics: Command는 없다.
cd lab
./run.sh
루프백 127.0.0.1:19030. Compose 프로젝트 pfsense-uploadconfig. Witness PFSENSE-UPLOADCONFIG-WITNESS. 루프백 전용: 127.0.0.1:19030. Compose 프로젝트 pfsense-uploadconfig. Witness PFSENSE-UPLOADCONFIG-WITNESS. 고정된 라인의 PHP 가젯. 실행 후 스택은 해체된다.
마지막 줄:
SUCCESS PFSENSE-UPLOADCONFIG control-no-install=yes trigger-install-reboot=yes ident=page-hidden-uploadconfiguration warn-root=absent PFSENSE-UPLOADCONFIG-WITNESS
uploadconfig.php에 standard-warning-root를 부여하거나, 숨겨진 페이지를 제거하라.
9363ac5b8651a1c7a333180425ce7719070f95f9