pfSense CE 2.9.0-DEVELOPMENT — высокий — удалённый — RCE — OpenVPN connect eval
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-ovpn-connect-eval
Класс: RCE Доступ: Удалённый
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
openvpn.connect_async.sh eval "/sbin/pfctl -a '${anchorname}' ..." с anchorname=openvpn/${dev}${username}${trusted_port}. Одинарные кавычки не экранируют username после раскрытия. Локальный GUI preg отклоняет символы оболочки; имена пользователей RADIUS пропускают эту проверку.
| ID | CVE пока нет |
| Класс | RCE |
| Доступ | Удалённый (аутентифицированный WebGUI, если не указано иное) |
| CWE | CWE-78 |
| CVSS | Высокий: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Продукт | pfSense CE |
| Затронуто | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| Аутентификация | Сессия WebGUI с OpenVPN server_user / server_tls_user client (RADIUS/LDAP username) |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1 |
Я зафиксировал публичный master 9363ac5. Лаборатория — это PHP-гаджет зафиксированного sink, loopback HTTP на 127.0.0.1:19070.
Разбор серии: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| Метод | Sink | Привилегия |
|---|---|---|
| OpenVPN client-connect с именем пользователя RADIUS | openvpn.connect_async.sh eval pfctl -a '${anchorname}' | Целостность: Доказано в лаборатории: имя пользователя alice'; w; : ' запустило дополнительную w. Локальный набор символов GUI отклоняет такое имя пользователя. |
| тот же остаток | тот же sink | Разведка: Доказано в лаборатории: argv pfctl для этой сессии. Предполагается: при отключении rm /tmp/${username}. |
| тот же остаток | тот же sink | Доступность: Предполагается: pfctl -F rules для якоря пользователя. |
Требуется: OpenVPN server_user / server_tls_user client (RADIUS/LDAP username). CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
Требуется: OpenVPN server_user / server_tls_user client (RADIUS/LDAP username). CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.
Набор символов имени пользователя локальной базы данных. Неаутентифицированный доступ неприменим в гаджете.
Нет Diagnostics: Command, если эта страница также не предоставлена.
cd lab
./run.sh
Loopback 127.0.0.1:19070. Compose-проект pfsense-ovpn-connect-eval. Свидетель PFSENSE-OVPN-CONNECT-EVAL-WITNESS. Только loopback: 127.0.0.1:19070. Compose-проект pfsense-ovpn-connect-eval. Свидетель PFSENSE-OVPN-CONNECT-EVAL-WITNESS. PHP-гаджет зафиксированных строк. Стек разбирается после запуска.
Последняя строка:
SUCCESS PFSENSE-OVPN-CONNECT-EVAL control-eval=yes local-gui-charset-rejects-trigger=yes trigger-eval=yes PFSENSE-OVPN-CONNECT-EVAL-WITNESS
Прекратить eval. Передавать якорь как литеральный argv в pfctl. Фильтровать имена пользователей RADIUS так же, как локальные.
9363ac5b8651a1c7a333180425ce7719070f95f9