abraxas/pfsense-voucher-expire-sqlipfSense CE 2.9.0-DEVELOPMENT - 중간 - 원격 - SQLi - voucher_expire WHERE
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-voucher-expire-sqli
분류: SQLi 도달 범위: 원격
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
voucher.inc captiveportal_read_db("WHERE username = '{$voucher}'") 후 첫 번째 행의 sessionid를 captiveportal_remove_entries로 전달. 비인증 로그인 INSERT는 SQLite3::escapeString을 사용.
| ID | 아직 CVE 없음 |
| 분류 | SQLi |
| 도달 범위 | 원격 (별도 언급이 없는 한 인증된 WebGUI) |
| CWE | CWE-89 |
| CVSS | Medium: 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L |
| 제품 | pfSense CE |
| 영향받는 버전 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 인증 | page-status-captiveportal-expire / page-services-captiveportal-vouchers 권한의 WebGUI 세션 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1 전용 |
공개 master 9363ac5를 고정했다. 랩은 고정된 sink의 PHP gadget이며, 127.0.0.1:19280에서 루프백 HTTP를 사용한다.
시리즈 분석 글: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 방법 | Sink | 권한 |
|---|---|---|
| POST voucher expire token | captiveportal_read_db WHERE username = '{$voucher}' | 무결성: 랩에서 입증됨: UNION으로 다른 sessionid를 선택했고 stacked-UPDATE로 해당 행을 재작성했다. CONTROL expire는 A만 삭제했다. 비인증 로그인 경로는 이스케이프된 상태로 유지되었다. |
| 동일한 잔여 코드 | 동일한 sink | 정찰: 추론됨: UNION으로 captiveportal{zone}.db의 다른 세션 컬럼을 읽을 수 있다. |
| 동일한 잔여 코드 | 동일한 sink | 가용성: 랩에서 입증됨: 주입된 첫 번째 행의 연결 해제; 해당 zone DB의 다른 세션을 삭제/재작성할 수 있다. |
필요 조건: page-status-captiveportal-expire / page-services-captiveportal-vouchers. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.
필요 조건: page-status-captiveportal-expire / page-services-captiveportal-vouchers. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root. 별도 언급이 없는 한 POST에 CSRF-magic 적용. WebGUI PHP-FPM은 root.
비인증 로그인 이스케이프. voucher_auth는 여전히 escapeshellarg 사용. 셸 없음. 다른 zone DB 없음. GUI 쿠키 없음.
해당 페이지도 함께 부여되지 않는 한 Diagnostics: Command 없음.
cd lab
./run.sh
루프백 127.0.0.1:19280. Compose 프로젝트 pfsense-voucher-expire-sqli. Witness PFSENSE-VOUCHER-EXPIRE-SQLI-WITNESS. 루프백 전용: 127.0.0.1:19280. Compose 프로젝트 pfsense-voucher-expire-sqli. Witness PFSENSE-VOUCHER-EXPIRE-SQLI-WITNESS. 고정된 라인들의 PHP gadget. 실행 후 스택은 해체된다.
마지막 줄:
SUCCESS PFSENSE-VOUCHER-EXPIRE-SQLI control-expire-only-a=yes control-login-escaped=yes trigger-rewrite-b=yes PFSENSE-VOUCHER-EXPIRE-SQLI-WITNESS
파라미터를 바인딩하라. voucher를 SQL에 연결하는 것을 중단하라.
9363ac5b8651a1c7a333180425ce7719070f95f9