abraxas/pfsense-bsnmpd-confpfSense CE 2.9.0-DEVELOPMENT - Médio - Remoto - Injeção de configuração - bsnmpd syslocation
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-bsnmpd-conf
Classe: Injeção de configuração Alcance: Remoto
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
services_snmpd_configure interpola location := "{$snmpdcfg['syslocation']}". A GUI ainda rejeita apenas #. Extra read := linha community. Sem include/exec sem um .so plantado.
| ID | ainda sem CVE |
| Classe | Injeção de configuração |
| Alcance | Remoto (WebGUI autenticada, salvo indicação em contrário) |
| CWE | CWE-74 |
| CVSS | Médio: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
| Produto | pfSense CE |
| Afetado | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Autenticação | Sessão WebGUI com page-services-snmp |
| Licença | GNU Affero GPL v3.0 |
| Lab | apenas 127.0.0.1 |
Fixe o master público 9363ac5. O lab é um gadget PHP do sink fixado, HTTP em loopback em 127.0.0.1:19220.
Write-up da série: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Método | Sink | Privilégio |
|---|---|---|
| POST services_snmp.php syslocation | location := "{$snmpdcfg['syslocation']}" | Integridade: Comprovado em lab: linha community extra em snmpd.conf. mwexec permaneceu bsnmpd -c . |
| mesmo leftover | mesmo sink | Recon: Inferido: community extra pode ampliar a leitura SNMP se o bsnmpd honrar o segundo read. |
| mesmo leftover | mesmo sink | Disponibilidade: Inferido: falha de parsing do snmpd. |
Requer: page-services-snmp. CSRF-magic no POST, salvo indicação em contrário. O PHP-FPM da WebGUI é root.
Requer: page-services-snmp. CSRF-magic no POST, salvo indicação em contrário. O PHP-FPM da WebGUI é root. CSRF-magic no POST, salvo indicação em contrário. O PHP-FPM da WebGUI é root.
Sem include/exec sem um .so plantado. Não é shell.
Sem Diagnostics: Command a menos que essa página também seja concedida.
cd lab
./run.sh
Loopback 127.0.0.1:19220. Projeto Compose pfsense-bsnmpd-conf. Witness PFSENSE-BSNMPD-CONF-WITNESS. Apenas loopback: 127.0.0.1:19220. Projeto Compose pfsense-bsnmpd-conf. Witness PFSENSE-BSNMPD-CONF-WITNESS. Gadget PHP das linhas fixadas. A stack é desmontada após a execução.
Última linha:
SUCCESS PFSENSE-BSNMPD-CONF control-one-syslocation=yes trigger-extra-community=yes PFSENSE-BSNMPD-CONF-WITNESS
Rejeitar aspas/ponto e vírgula/nova linha em location/contact/community/trap.
9363ac5b8651a1c7a333180425ce7719070f95f9