abraxas/pfsense-separator-color-xsspfSense CE 2.9.0-DEVELOPMENT - Médio - Remoto - XSS - cor do separador na classe
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-separator-color-xss
Classe: XSS Alcance: Remoto
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
display_separator() concatena $separator['color'] em class="..." sem codificação. order-store copia o separador do POST sem whitelist de cor. O texto é htmlspecialchars.
| ID | ainda sem CVE |
| Classe | XSS |
| Alcance | Remoto (WebGUI autenticado, salvo indicação em contrário) |
| CWE | CWE-79 |
| CVSS | Médio: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Produto | pfSense CE |
| Afetado | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Autenticação | Sessão WebGUI com page-firewall-rules or page-firewall-nat-portforward order-store |
| Licença | GNU Affero GPL v3.0 |
| Laboratório | apenas 127.0.0.1 |
Fixeio o master público 9363ac5. O laboratório é um gadget PHP do sink fixado, HTTP em loopback em 127.0.0.1:19160.
Write-up da série: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Método | Sink | Privilégio |
|---|---|---|
| POST firewall_rules.php order-store separator color | display_separator class="...{$separator['color']}..." | Integridade: Comprovado em laboratório: quebra de aspas em bruto em class= em três interpolações. A reordenação de NAT é o mesmo sink. |
| mesmo leftover | mesmo sink | Recon: Inferido: XSS armazenado na origem da GUI. |
| mesmo leftover | mesmo sink | Disponibilidade: Nenhuma demonstrada. |
Requer: page-firewall-rules or page-firewall-nat-portforward order-store. CSRF-magic no POST, salvo indicação em contrário. O WebGUI PHP-FPM é root.
Requer: page-firewall-rules or page-firewall-nat-portforward order-store. CSRF-magic no POST, salvo indicação em contrário. O WebGUI PHP-FPM é root. CSRF-magic no POST, salvo indicação em contrário. O WebGUI PHP-FPM é root.
Codificação de texto. Cores da UI bg-info/danger/success/warning. O JS auxiliar de string-row não corresponde a row/0.
Sem Diagnostics: Command, a menos que essa página também seja concedida.
cd lab
./run.sh
Loopback 127.0.0.1:19160. Projeto Compose pfsense-separator-color-xss. Testemunho PFSENSE-SEPARATOR-COLOR-XSS-WITNESS. Apenas loopback: 127.0.0.1:19160. Projeto Compose pfsense-separator-color-xss. Testemunho PFSENSE-SEPARATOR-COLOR-XSS-WITNESS. Gadget PHP das linhas fixadas. A stack é desmontada após a execução.
Última linha:
SUCCESS PFSENSE-SEPARATOR-COLOR-XSS control-class=yes trigger-unescaped=yes text-encoded=yes string-row-closed=yes nat-same-sink=yes PFSENSE-SEPARATOR-COLOR-XSS-WITNESS
Allowlist da cor do separador. htmlspecialchars em class=.
9363ac5b8651a1c7a333180425ce7719070f95f9