abraxas/pfsense-auth-username-xsspfSense CE 2.9.0-DEVELOPMENT - Médio - Remoto - XSS - Nome de usuário LDAP em head.inc
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-auth-username-xss
Classe: XSS Alcance: Remoto
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
O título de logout em head.inc interpola $_SESSION['Username'] sem tratamento. O Form_StaticText de passwordmg também está sem tratamento. O conjunto de caracteres local rejeita o gatilho; nomes LDAP o ignoram.
| ID | ainda sem CVE |
| Classe | XSS |
| Alcance | Remoto (WebGUI autenticado, salvo indicação em contrário) |
| CWE | CWE-79 |
| CVSS | Médio: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Produto | pfSense CE |
| Afetado | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Autenticação | Sessão WebGUI com LDAP/RADIUS WebGUI session |
| Licença | GNU Affero GPL v3.0 |
| Laboratório | apenas 127.0.0.1 |
Fixeio o master público 9363ac5. O laboratório é um gadget PHP do sink fixado, HTTP em loopback em 127.0.0.1:19170.
Write-up da série: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Método | Sink | Privilégio |
|---|---|---|
| Login LDAP com um nome de usuário que quebra aspas | head.inc logout title="Logout ({$_SESSION['Username']}@$system_url)" | Integridade: Comprovado em laboratório: quebra de aspas sem tratamento no HTML de logout e no StaticText. |
| mesmo resquício | mesmo sink | Reconhecimento: Comprovado em laboratório: nome de usuário da sessão refletido em toda página autenticada que inclui head.inc. |
| mesmo resquício | mesmo sink | Disponibilidade: Nenhuma demonstrada. |
Requer: LDAP/RADIUS WebGUI session. CSRF-magic em POST, salvo indicação em contrário. O WebGUI PHP-FPM é root.
Requer: LDAP/RADIUS WebGUI session. CSRF-magic em POST, salvo indicação em contrário. O WebGUI PHP-FPM é root. CSRF-magic em POST, salvo indicação em contrário. O WebGUI PHP-FPM é root.
Conjunto de caracteres local [^a-zA-Z0-9.-_]. htmlspecialchars($system_url). Não autenticado N/A.
Sem Diagnostics: Command, a menos que essa página também seja concedida.
cd lab
./run.sh
Loopback 127.0.0.1:19170. Projeto Compose pfsense-auth-username-xss. Testemunho PFSENSE-AUTH-USERNAME-XSS-WITNESS. Apenas loopback: 127.0.0.1:19170. Projeto Compose pfsense-auth-username-xss. Testemunho PFSENSE-AUTH-USERNAME-XSS-WITNESS. Gadget PHP das linhas fixadas. A stack é desmontada após a execução.
Última linha:
SUCCESS PFSENSE-AUTH-USERNAME-XSS control-admin-encoded=yes trigger-quote-break=yes witness-unescaped=yes local-charset-blocks-trigger=yes PFSENSE-AUTH-USERNAME-XSS-WITNESS
Aplicar htmlspecialchars ao nome de usuário da sessão em head.inc e passwordmg.
9363ac5b8651a1c7a333180425ce7719070f95f9