abraxas/pfsense-limiter-numberpfSense CE 2.9.0-DEVELOPMENT — высокий уровень — удалённый — RCE — limiter number dnctl
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-limiter-number
Класс: RCE Доступ: Удалённый
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
Ограничители Traffic Shaper выдают скрытое поле number при редактировании. Создание перезаписывает это число с помощью dnpipe_find_nextnumber(). Редактирование — нет. validate_input никогда не проверяет number. GetNumber() конкатенируется без кавычек в dnctl pipe|sched|queue delete. PHP mwexec — это /bin/sh -c. Привилегия — page-firewall-trafficshaper-limiter, а не Diagnostics: Command.
| ID | CVE пока нет |
| Класс | RCE |
| Доступ | Удалённый (аутентифицированный WebGUI) |
| CWE | CWE-78 |
| CVSS | Высокий: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Продукт | pfSense CE |
| Затронуто | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) limiter number |
| Аутентификация | Сессия WebGUI с page-firewall-trafficshaper-limiter |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1 |
Я зафиксировал публичный master 9363ac5. Лаборатория — это PHP-гаджет из зафиксированных ReadConfig / SetNumber / delete_queue. Loopback 127.0.0.1:18840.
| Метод | Точка сброса | Привилегия |
|---|---|---|
Создать limiter, отправить POST save с атакующим number, затем удалить этот limiter | mwexec("/sbin/dnctl pipe delete " . $this->GetNumber()) (shaper.inc:3820) | Целостность (доказано в лаборатории): root shell. Лаборатория: edit-delete записал свидетельство (edit-delete-exec=yes). Перезапись при создании и путь apply-file не записали ничего. |
| Тот же root shell | файловая система хоста | Разведка (предположительно): config.xml, ключи. |
Root shell или dnctl с атакующими номерами | dummynet | Доступность (предположительно): нарушение работы limiter / dummynet. |
Доказано в лаборатории vs предположительно: перезапись при создании (без свидетельства), путь apply-file (dnctl файла, без свидетельства) и edit-delete exec (со свидетельством) доказаны в лаборатории. Разведка файловой системы выведена из root PHP-FPM.
Требуется: сессия WebGUI с page-firewall-trafficshaper-limiter. CSRF при POST save. Удаление — это GET action=delete.
| Поверхность | Лаборатория |
|---|---|
| Путь создания | dnpipe_find_nextnumber() перезаписывает, create-overwrites=yes |
| Путь применения | dnctl для /tmp/rules.limiter, имя файла не контролируется пользователем, apply-file=yes |
| Набор символов имени limiter | ^[a-zA-Z0-9_-]+$ |
| Без аутентификации | закрыто |
| Diagnostics: Command | остаётся закрытым, если не предоставлено дополнительно |
Параметры AQM в /tmp/rules.limiter — это дополнительный язык dummynet, а не этот остаток.
cd lab
./run.sh
Loopback 127.0.0.1:18840. Проект Compose pfsense-limiter-number. Тег образа pfsense-limiter-number:2.9.0-dev. Свидетельство PFSENSE-LIMITER-NUMBER-WITNESS. Последняя строка:
SUCCESS PFSENSE-LIMITER-NUMBER create-overwrites=yes apply-file=yes edit-delete-exec=yes PFSENSE-LIMITER-NUMBER-WITNESS
Приводить GetNumber() к int перед каждым dnctl. Игнорировать POST number при редактировании или проверять его диапазон относительно живого id dummynet. Создание уже перезаписывает; сделайте так же для редактирования.
9363ac5b8651a1c7a333180425ce7719070f95f9shaper.inc delete_queue / GetNumberfirewall_shaper_vinterface.php