abraxas/pfsense-config-readonly-restorepfSense CE 2.9.0-DEVELOPMENT — высокий — удалённый — остаточные привилегии — readonly config_install
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-config-readonly-restore
Класс: Остаточные привилегии Достижимость: Удалённая
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
write_config учитывает user-config-readonly. config_install и config_restore заменяют config.xml без этой проверки.
| ID | CVE пока нет |
| Класс | Остаточные привилегии |
| Достижимость | Удалённая (аутентифицированный WebGUI, если не указано иное) |
| CWE | CWE-863 |
| CVSS | Высокий: 7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L |
| Продукт | pfSense CE |
| Затронуто | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Аутентификация | Сессия WebGUI с a page that can call config_install / config_restore while Deny Config Write is set |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1 |
Я зафиксировал публичный master 9363ac5. Лаборатория — это PHP-гаджет зафиксированного sink, loopback HTTP на 127.0.0.1:19200.
Серия публикаций: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Метод | Sink | Привилегия |
|---|---|---|
| config_install / config_restore от имени пользователя с Deny Config Write | config_install копирует поверх config.xml | Целостность: Доказано в лаборатории: write_config отклонён; config_install и config_restore всё равно заменили config.xml. |
| та же остаточная привилегия | тот же sink | Разведка: Ничего не показано. |
| та же остаточная привилегия | тот же sink | Доступность: Предположительно: внедрённый конфиг может перезагрузить систему / заблокировать доступ. |
Требуется: a page that can call config_install / config_restore while Deny Config Write is set. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
Требуется: a page that can call config_install / config_restore while Deny Config Write is set. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
Обычные записи конфигурации остаются запрещёнными.
Никаких Diagnostics: Command, если эта страница также не предоставлена.
cd lab
./run.sh
Loopback 127.0.0.1:19200. Compose-проект pfsense-config-readonly-restore. Свидетель PFSENSE-CONFIG-READONLY-RESTORE-WITNESS. Только loopback: 127.0.0.1:19200. Compose-проект pfsense-config-readonly-restore. Свидетель PFSENSE-CONFIG-READONLY-RESTORE-WITNESS. PHP-гаджет зафиксированных строк. Стек разбирается после запуска.
Последняя строка:
SUCCESS PFSENSE-CONFIG-READONLY-RESTORE write-denied=yes install-replace=yes restore-replace=yes PFSENSE-CONFIG-READONLY-RESTORE-WITNESS
Учитывать user-config-readonly в config_install и config_restore.
9363ac5b8651a1c7a333180425ce7719070f95f9