abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-ldap-name-collision

pfsense-ldap-name-collision

Класс: Остаточные привилегии Достижимость: Удалённая

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

getUserEntry($name) возвращает локальную строку при совпадении имени. Затем isAdminUID() видит uid 0, и isAllowedPage разрешает любую страницу. passwordmg рассматривает сессию как локальную и записывает хеш этого пользователя. uid == 0 — это нестрогое сравнение.

ID	CVE пока нет
Класс	Остаточные привилегии
Достижимость	Удалённая (аутентифицированный WebGUI, если не указано иное)
CWE	CWE-269
CVSS	Высокий: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Продукт	pfSense CE
Затронуто	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
Аутентификация	Сессия WebGUI с remote WebGUI login when authmode != Local; passwordmg is not warn-root
Лицензия	GNU Affero GPL v3.0
Лаборатория	только 127.0.0.1

Я зафиксировал публичный master 9363ac5. Лаборатория — это PHP-гаджет зафиксированного sink, loopback HTTP на 127.0.0.1:19010.

Разбор серии: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Что может сделать атакующий

Метод	Sink	Привилегия
LDAP/RADIUS bind под именем локального администратора, затем POST passwordmg	getUserEntry / isAdminUID / local_user_set_password	Целостность: Доказано в лаборатории: удалённый администратор проходит isAdminUID; все страницы, включая diag_command; passwordmg установил хеш uid 0. Удалённые имена только-заглушки отклоняются безопасно.
та же остаточная привилегия	тот же sink	Разведка: Доказано в лаборатории: флаг разрешения для каждой страницы.
та же остаточная привилегия	тот же sink	Доступность: Не показана.

Требуется: remote WebGUI login when authmode != Local; passwordmg is not warn-root. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.

Требуется: remote WebGUI login when authmode != Local; passwordmg is not warn-root. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.

Смежная поверхность, которая остаётся закрытой

Удалённые имена только-заглушки. Сам usermanager работает от warn-root. Пропуск uid в xmlrpc SA-26_22 — это другая ошибка.

Нет Diagnostics: Command, если только эта страница также не предоставлена.

Лаборатория

cd lab
./run.sh

Loopback 127.0.0.1:19010. Compose-проект pfsense-ldap-name-collision. Свидетель PFSENSE-LDAP-NAME-COLLISION-WITNESS. Только loopback: 127.0.0.1:19010. Compose-проект pfsense-ldap-name-collision. Свидетель PFSENSE-LDAP-NAME-COLLISION-WITNESS. PHP-гаджет зафиксированных строк. Стек разбирается после запуска.

Последняя строка:

SUCCESS PFSENSE-LDAP-NAME-COLLISION control-isadmin=no control-diag=no control-hash-unchanged=yes trigger-isadmin=yes trigger-all-pages=yes trigger-hash-set=yes uid-loose-eq=yes PFSENSE-LDAP-NAME-COLLISION-WITNESS

Исправление

Не сопоставляйте удалённое имя с локальной строкой uid 0. Используйте строгое uid === '0' вместе с источником аутентификации. Сделайте passwordmg warn-root.

Ссылки

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-269
• Серия: https://abraxaslabs.tech/research/pfsense-ce-leftovers