abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-rss-body-xss

pfsense-rss-body-xss

Класс: XSS Достижимость: Удалённая

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

26_04 кодирует заголовок. Тело обрабатывается только strip_tags. Permalink — это необработанный href.

ID	CVE пока нет
Класс	XSS
Достижимость	Удалённая (аутентифицированный WebGUI, если не указано иное)
CWE	CWE-79
CVSS	Средняя: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Продукт	pfSense CE
Затронуто	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
Аутентификация	Сессия WebGUI с page-all / dashboard widgets
Лицензия	GNU Affero GPL v3.0
Лаборатория	только 127.0.0.1

Я зафиксировал публичный master 9363ac5. Лаборатория — это PHP-гаджет зафиксированного sink, loopback HTTP на 127.0.0.1:19150.

Разбор серии: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Что может сделать атакующий

Метод	Sink	Привилегия
Описание / ссылка элемента RSS-ленты, отображаемые rss.widget.php	тело strip_tags; необработанный permalink href	Целостность: Доказано в лаборатории: остаток body onerror и permalink javascript: со свидетелем. Заголовок закодирован.
тот же остаток	тот же sink	Разведка: Предположительно: XSS на дашборде от имени вошедшего пользователя.
тот же остаток	тот же sink	Доступность: Не показана.

Требуется: page-all / dashboard widgets. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.

Требуется: page-all / dashboard widgets. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.

Смежная поверхность, которая остаётся закрытой

Кодирование заголовка 26_04.

Никаких Diagnostics: Command, если эта страница также не предоставлена.

Лаборатория

cd lab
./run.sh

Loopback 127.0.0.1:19150. Compose-проект pfsense-rss-body-xss. Свидетель PFSENSE-RSS-BODY-XSS-WITNESS. Только loopback: 127.0.0.1:19150. Compose-проект pfsense-rss-body-xss. Свидетель PFSENSE-RSS-BODY-XSS-WITNESS. PHP-гаджет зафиксированных строк. Стек разбирается после запуска.

Последняя строка:

SUCCESS PFSENSE-RSS-BODY-XSS title-encoded=yes body-onerror=yes permalink-javascript=yes PFSENSE-RSS-BODY-XSS-WITNESS

Исправление

htmlspecialchars для текста тела. Allowlist для permalink до http(s).

Ссылки

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-79
• Серия: https://abraxaslabs.tech/research/pfsense-ce-leftovers