abraxas/pfsense-https-host-redirectpfSense CE 2.9.0-DEVELOPMENT - Médio - Remoto - Redirecionamento aberto - HTTP 301 $http_host
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-https-host-redirect
Classe: Redirecionamento aberto Alcance: Remoto
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
system.inc emite um server{} na porta 80 com return 301 https://$http_host$redirectport$request_uri; e sem server_name. O nginx retorna 301 antes do php-fpm, então o DNS-rebind do auth.inc nunca é executado.
| ID | ainda sem CVE |
| Classe | Redirecionamento aberto |
| Alcance | Remoto (WebGUI autenticado, salvo indicação em contrário) |
| CWE | CWE-601 |
| CVSS | Médio: 4.7 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N |
| Produto | pfSense CE |
| Afetado | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Autenticação | Sessão WebGUI com unauth client that can hit the WebGUI HTTP listener |
| Licença | GNU Affero GPL v3.0 |
| Laboratório | somente 127.0.0.1 |
Fixe o master público 9363ac5. O laboratório é um gadget PHP do sink fixado, HTTP em loopback em 127.0.0.1:19210.
Write-up da série: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Método | Sink | Privilégio |
|---|---|---|
| GET / não autenticado em TCP/80 com um Host hostil | nginx return 301 https://$http_host... | Integridade: Nenhuma. |
| mesmo resquício | mesmo sink | Recon: Comprovado em laboratório: Host evil.example tornou-se Location https://evil.example/index.php. O DNS-rebind 501 do PHP não é executado neste 301. |
| mesmo resquício | mesmo sink | Disponibilidade: Nenhuma demonstrada. |
Requer: unauth client that can hit the WebGUI HTTP listener. CSRF-magic em POST, salvo indicação em contrário. O WebGUI PHP-FPM é root.
Requer: unauth client that can hit the WebGUI HTTP listener. CSRF-magic em POST, salvo indicação em contrário. O WebGUI PHP-FPM é root. CSRF-magic em POST, salvo indicação em contrário. O WebGUI PHP-FPM é root.
DNS-rebind do PHP na própria GUI HTTPS.
Sem Diagnostics: Command, a menos que essa página também seja concedida.
cd lab
./run.sh
Loopback 127.0.0.1:19210. Projeto Compose pfsense-https-host-redirect. Witness PFSENSE-HTTPS-HOST-REDIRECT-WITNESS. Somente loopback: 127.0.0.1:19210. Projeto Compose pfsense-https-host-redirect. Witness PFSENSE-HTTPS-HOST-REDIRECT-WITNESS. Gadget PHP das linhas fixadas. A stack é desmontada após a execução.
Última linha:
SUCCESS PFSENSE-HTTPS-HOST-REDIRECT control-localhost=yes trigger-evil=yes php-rebind-skips-301=yes PFSENSE-HTTPS-HOST-REDIRECT-WITNESS
Use um hostname configurado, ou $host (em allowlist), não $http_host.
9363ac5b8651a1c7a333180425ce7719070f95f9