abraxas/pfsense-auth-username-xsspfSense CE 2.9.0-DEVELOPMENT — средний уровень — удалённый — XSS — имя пользователя LDAP в head.inc
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-auth-username-xss
Класс: XSS Достижимость: Удалённая
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
Заголовок выхода из системы в head.inc интерполирует $_SESSION['Username'] без обработки. Form_StaticText в passwordmg также не обрабатывается. Локальный набор символов отклоняет триггер; имена LDAP его пропускают.
| ID | CVE пока нет |
| Класс | XSS |
| Достижимость | Удалённая (аутентифицированный WebGUI, если не указано иное) |
| CWE | CWE-79 |
| CVSS | Средняя: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Продукт | pfSense CE |
| Затронуто | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Аутентификация | Сессия WebGUI с LDAP/RADIUS WebGUI session |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1 |
Я зафиксировал публичный master 9363ac5. Лаборатория представляет собой PHP-гаджет зафиксированного стока, loopback HTTP на 127.0.0.1:19170.
Разбор серии: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Метод | Сток | Привилегия |
|---|---|---|
| Вход по LDAP с именем пользователя, ломающим кавычки | head.inc logout title="Logout ({$_SESSION['Username']}@$system_url)" | Целостность: Доказано в лаборатории: ломающий кавычки сырой ввод в HTML выхода из системы и StaticText. |
| тот же остаток | тот же сток | Разведка: Доказано в лаборатории: имя пользователя сессии отражается на каждой аутентифицированной странице, включающей head.inc. |
| тот же остаток | тот же сток | Доступность: Не показана. |
Требуется: LDAP/RADIUS WebGUI session. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
Требуется: LDAP/RADIUS WebGUI session. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
Локальный набор символов [^a-zA-Z0-9.-_]. htmlspecialchars($system_url). Без аутентификации — неприменимо.
Нет Diagnostics: Command, если эта страница также не предоставлена.
cd lab
./run.sh
Loopback 127.0.0.1:19170. Compose-проект pfsense-auth-username-xss. Свидетель PFSENSE-AUTH-USERNAME-XSS-WITNESS. Только loopback: 127.0.0.1:19170. Compose-проект pfsense-auth-username-xss. Свидетель PFSENSE-AUTH-USERNAME-XSS-WITNESS. PHP-гаджет зафиксированных строк. Стек разбирается после запуска.
Последняя строка:
SUCCESS PFSENSE-AUTH-USERNAME-XSS control-admin-encoded=yes trigger-quote-break=yes witness-unescaped=yes local-charset-blocks-trigger=yes PFSENSE-AUTH-USERNAME-XSS-WITNESS
Применить htmlspecialchars к имени пользователя сессии в head.inc и passwordmg.
9363ac5b8651a1c7a333180425ce7719070f95f9