abraxas/pfsense-gw-ipv6-zonepfSense CE 2.9.0-DEVELOPMENT — высокий уровень — удалённое выполнение кода — зона IPv6 в dpinger
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-gw-ipv6-zone
Класс: RCE Доступ: Удалённый
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
is_ipaddrv6() удаляет %zone для Net_IPv6::checkIPv6 и никогда не проверяет набор символов зоны. start_dpinger подставляет {$gateway['monitor']} в mwexec без escapeshellarg. Пустой monitor копирует IP шлюза.
| ID | CVE пока нет |
| Класс | RCE |
| Доступ | Удалённый (аутентифицированный WebGUI, если не указано иное) |
| CWE | CWE-78 |
| CVSS | Высокий: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Продукт | pfSense CE |
| Затронуто | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Аутентификация | Сессия WebGUI с page-system-gateways-editgateway then apply |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1 |
Я зафиксировал публичный master 9363ac5. Лаборатория — это PHP-гаджет зафиксированного sink, loopback HTTP на 127.0.0.1:18930.
Статья серии: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Метод | Sink | Привилегия |
|---|---|---|
| POST system_gateways_edit.php gateway/monitor IPv6%zone | start_dpinger mwexec {$gateway['monitor']} | Целостность: Доказано в лаборатории: fe80::1%eth0;w всё ещё прошёл is_ipaddrv6; mwexec /bin/sh -c выполнил дополнительный w. |
| тот же остаток | тот же sink | Разведка: Предположительно: root-оболочка может читать файлы хоста. |
| тот же остаток | тот же sink | Доступность: Предположительно: остановить или заменить мониторинг dpinger. |
Требуется: page-system-gateways-editgateway then apply. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
Требуется: page-system-gateways-editgateway then apply. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
Имя шлюза — is_validaliasname. Без аутентификации — неприменимо.
Нет Diagnostics: Command, если эта страница также не предоставлена.
cd lab
./run.sh
Loopback 127.0.0.1:18930. Compose-проект pfsense-gw-ipv6-zone. Свидетель PFSENSE-GW-IPV6-ZONE-WITNESS. Только loopback: 127.0.0.1:18930. Compose-проект pfsense-gw-ipv6-zone. Свидетель PFSENSE-GW-IPV6-ZONE-WITNESS. PHP-гаджет зафиксированных строк. Стек разбирается после запуска.
Последняя строка:
SUCCESS PFSENSE-GW-IPV6-ZONE control-no-extra=yes trigger-extra-exec=yes PFSENSE-GW-IPV6-ZONE-WITNESS
Проверять набор символов зоны. escapeshellarg для monitor перед mwexec. Предпочитать массивы argv.
9363ac5b8651a1c7a333180425ce7719070f95f9