abraxas/pfsense-cp-filename-xsspfSense CE 2.9.0-DEVELOPMENT - Médio - Remoto - XSS - XSS armazenado no nome de arquivo do CP
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-cp-filename-xss
Classe: XSS Alcance: Remoto
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
O nome do arquivo é interpolado em / CSS url(...) no HTML de login padrão sem codificação. A origem do portal não é a origem da GUI. SA-26_05 é o widget da GUI.
| ID | ainda sem CVE |
| Classe | XSS |
| Alcance | Remoto (WebGUI autenticada, salvo indicação em contrário) |
| CWE | CWE-79 |
| CVSS | Médio: 6.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Produto | pfSense CE |
| Afetado | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Autenticação | Sessão WebGUI com plant with page-services-captiveportal-filemanager; victim is an unauth portal client |
| Licença | GNU Affero GPL v3.0 |
| Laboratório | apenas 127.0.0.1 |
Fixe o master público 9363ac5. O laboratório é um gadget PHP do sink fixado, HTTP em loopback em 127.0.0.1:19110.
Write-up da série: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Método | Sink | Privilégio |
|---|---|---|
| POST do nome no gerenciador de arquivos, depois GET não autenticado do HTML de login do portal | get_default_captive_portal_html img src={$logo_src} | Integridade: Inferido: script no login do portal pode ler auth_user / auth_pass naquela página. |
| mesmo resquício | mesmo sink | Recon: Comprovado em laboratório: onerror= bruto mais witness no HTML do portal não autenticado. A lista da GUI codificou o mesmo nome com htmlspecialchars. |
| mesmo resquício | mesmo sink | Disponibilidade: Nenhuma demonstrada. |
Requer: plant with page-services-captiveportal-filemanager; victim is an unauth portal client. CSRF-magic no POST, salvo indicação em contrário. O PHP-FPM da WebGUI é root.
Requer: plant with page-services-captiveportal-filemanager; victim is an unauth portal client. CSRF-magic no POST, salvo indicação em contrário. O PHP-FPM da WebGUI é root. CSRF-magic no POST, salvo indicação em contrário. O PHP-FPM da WebGUI é root.
Cookies da GUI. Codificação da lista do gerenciador de arquivos. Widget SA-26_05.
Nenhum Diagnostics: Command, a menos que essa página também seja concedida.
cd lab
./run.sh
Loopback 127.0.0.1:19110. Projeto Compose pfsense-cp-filename-xss. Witness PFSENSE-CP-FILENAME-XSS-WITNESS. Apenas loopback: 127.0.0.1:19110. Projeto Compose pfsense-cp-filename-xss. Witness PFSENSE-CP-FILENAME-XSS-WITNESS. Gadget PHP das linhas fixadas. A stack é desmontada após a execução.
Última linha:
SUCCESS PFSENSE-CP-FILENAME-XSS control-inert=yes trigger-raw=yes witness-unescaped=yes gui-cookie-theft=no PFSENSE-CP-FILENAME-XSS-WITNESS
Aplicar htmlspecialchars ao nome do arquivo no HTML do portal. Restringir o conjunto de caracteres do upload.
9363ac5b8651a1c7a333180425ce7719070f95f9