pfSense CE 2.9.0-DEVELOPMENT — высокий — удалённый — остаточные привилегии — восстановление ACB
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-acb-restore-priv
Класс: Остаточная привилегия Достижимость: Удалённая
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
newver скачивает, расшифровывает с сохранённым паролем ACB, config_restore. Необязательный userkey — это набор резервных копий другого устройства. Страницы локального резервного копирования/истории — warn-root.
| ID | CVE пока нет |
| Класс | Остаточная привилегия |
| Достижимость | Удалённая (аутентифицированный WebGUI, если не указано иное) |
| CWE | CWE-269 |
| CVSS | Высокий: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Продукт | pfSense CE |
| Затронуто | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Аутентификация | Сессия WebGUI с page-services-acb |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1 |
Я зафиксировал публичный master 9363ac5. Лаборатория — это PHP-гаджет зафиксированного sink, loopback HTTP на 127.0.0.1:19040.
Серия публикаций: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Метод | Sink | Привилегия |
|---|---|---|
| GET/POST services_acb.php newver= | acb_backup_get / decrypt / config_restore | Целостность: Доказано в лаборатории: восстановление newver заменило config.xml на подложенную ревизию. Восстановление без newver этого не сделало. |
| тот же остаток | тот же sink | Разведка: Предположительно: та же страница может просматривать/скачивать расшифрованный ACB XML; userkey может выбрать набор другого устройства. |
| тот же остаток | тот же sink | Доступность: Предположительно: интерфейс восстановления предлагает перезагрузку; подложенный конфиг может заблокировать доступ к GUI. |
Требуется: page-services-acb. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
Требуется: page-services-acb. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
diag_backup.php / diag_confbak.php — warn-root.
Никаких Diagnostics: Command, если эта страница также не предоставлена.
cd lab
./run.sh
Loopback 127.0.0.1:19040. Compose-проект pfsense-acb-restore-priv. Свидетель PFSENSE-ACB-RESTORE-PRIV-WITNESS. Только loopback: 127.0.0.1:19040. Compose-проект pfsense-acb-restore-priv. Свидетель PFSENSE-ACB-RESTORE-PRIV-WITNESS. PHP-гаджет зафиксированных строк. Стек разбирается после запуска.
Последняя строка:
SUCCESS PFSENSE-ACB-RESTORE-PRIV ident-no-warn-root=yes no-newver-no-restore=yes newver-restore=yes PFSENSE-ACB-RESTORE-PRIV-WITNESS
Пометить page-services-acb как standard-warning-root.
9363ac5b8651a1c7a333180425ce7719070f95f9