abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-config-readonly-restore

pfsense-config-readonly-restore

Classe: Privilégio remanescente Alcance: Remoto

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

write_config respeita user-config-readonly. config_install e config_restore substituem config.xml sem essa verificação.

ID	ainda sem CVE
Classe	Privilégio remanescente
Alcance	Remoto (WebGUI autenticada, salvo indicação em contrário)
CWE	CWE-863
CVSS	Alto: 7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L
Produto	pfSense CE
Afetado	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
Autenticação	Sessão WebGUI com uma página que possa chamar config_install / config_restore enquanto Deny Config Write estiver definido
Licença	GNU Affero GPL v3.0
Laboratório	apenas 127.0.0.1

Fixeio o master público 9363ac5. O laboratório é um gadget PHP do sink fixado, HTTP em loopback em 127.0.0.1:19200.

Série de artigos: https://abraxaslabs.tech/research/pfsense-ce-leftovers

O que um atacante pode fazer

Método	Sink	Privilégio
config_install / config_restore como um usuário com Deny Config Write	config_install copia sobre config.xml	Integridade: Comprovado em laboratório: write_config negado; config_install e config_restore ainda substituíram config.xml.
mesmo remanescente	mesmo sink	Recon: Nenhum demonstrado.
mesmo remanescente	mesmo sink	Disponibilidade: Inferido: a configuração plantada pode reiniciar / bloquear o acesso.

Requer: uma página que possa chamar config_install / config_restore enquanto Deny Config Write estiver definido. CSRF-magic em POST, salvo indicação em contrário. O WebGUI PHP-FPM é root.

Requer: uma página que possa chamar config_install / config_restore enquanto Deny Config Write estiver definido. CSRF-magic em POST, salvo indicação em contrário. O WebGUI PHP-FPM é root. CSRF-magic em POST, salvo indicação em contrário. O WebGUI PHP-FPM é root.

Superfície adjacente que permanece fechada

As gravações normais de configuração permanecem negadas.

Sem Diagnostics: Command, a menos que essa página também seja concedida.

Laboratório

cd lab
./run.sh

Loopback 127.0.0.1:19200. Projeto Compose pfsense-config-readonly-restore. Testemunho PFSENSE-CONFIG-READONLY-RESTORE-WITNESS. Apenas loopback: 127.0.0.1:19200. Projeto Compose pfsense-config-readonly-restore. Testemunho PFSENSE-CONFIG-READONLY-RESTORE-WITNESS. Gadget PHP das linhas fixadas. A stack é desmontada após a execução.

Última linha:

SUCCESS PFSENSE-CONFIG-READONLY-RESTORE write-denied=yes install-replace=yes restore-replace=yes PFSENSE-CONFIG-READONLY-RESTORE-WITNESS

Correção

Respeitar user-config-readonly em config_install e config_restore.

Referências

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-863
• Série: https://abraxaslabs.tech/research/pfsense-ce-leftovers