abraxas/pfsense-https-host-redirectpfSense CE 2.9.0-DEVELOPMENT — средний уровень — удалённый — открытое перенаправление — HTTP 301 $http_host
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-https-host-redirect
Класс: Открытое перенаправление Доступ: Удалённый
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
system.inc создаёт server{} на порту 80 с return 301 https://$http_host$redirectport$request_uri; и без server_name. nginx возвращает 301 до php-fpm, поэтому DNS-rebind из auth.inc никогда не выполняется.
| ID | CVE пока нет |
| Класс | Открытое перенаправление |
| Доступ | Удалённый (аутентифицированный WebGUI, если не указано иное) |
| CWE | CWE-601 |
| CVSS | Средний: 4.7 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N |
| Продукт | pfSense CE |
| Затронуто | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Аутентификация | Сессия WebGUI с unauth client that can hit the WebGUI HTTP listener |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1 |
Я зафиксировал публичный master 9363ac5. Лаборатория — это PHP-гаджет зафиксированного sink, loopback HTTP на 127.0.0.1:19210.
Разбор серии: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Метод | Sink | Привилегия |
|---|---|---|
| unauth GET / на TCP/80 с враждебным Host | nginx return 301 https://$http_host... | Целостность: Нет. |
| тот же остаток | тот же sink | Разведка: Доказано в лаборатории: Host evil.example стал Location https://evil.example/index.php. PHP DNS-rebind 501 не выполняется при этом 301. |
| тот же остаток | тот же sink | Доступность: Не показана. |
Требуется: unauth client that can hit the WebGUI HTTP listener. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
Требуется: unauth client that can hit the WebGUI HTTP listener. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
PHP DNS-rebind на самом HTTPS GUI.
Никаких Diagnostics: Command, если эта страница также не предоставлена.
cd lab
./run.sh
Loopback 127.0.0.1:19210. Compose-проект pfsense-https-host-redirect. Свидетель PFSENSE-HTTPS-HOST-REDIRECT-WITNESS. Только loopback: 127.0.0.1:19210. Compose-проект pfsense-https-host-redirect. Свидетель PFSENSE-HTTPS-HOST-REDIRECT-WITNESS. PHP-гаджет зафиксированных строк. Стек разбирается после запуска.
Последняя строка:
SUCCESS PFSENSE-HTTPS-HOST-REDIRECT control-localhost=yes trigger-evil=yes php-rebind-skips-301=yes PFSENSE-HTTPS-HOST-REDIRECT-WITNESS
Используйте настроенное имя хоста или $host (из списка разрешённых), а не $http_host.
9363ac5b8651a1c7a333180425ce7719070f95f9