abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-separator-color-xss

pfsense-separator-color-xss

Класс: XSS Достижимость: Удалённая

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

display_separator() конкатенирует $separator['color'] в class="..." без кодирования. order-store копирует POST separator без белого списка цветов. Текст обрабатывается htmlspecialchars.

ID	CVE пока нет
Класс	XSS
Достижимость	Удалённая (аутентифицированный WebGUI, если не указано иное)
CWE	CWE-79
CVSS	Средний: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Продукт	pfSense CE
Затронуто	2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
Аутентификация	Сессия WebGUI с page-firewall-rules or page-firewall-nat-portforward order-store
Лицензия	GNU Affero GPL v3.0
Лаборатория	только 127.0.0.1

Я зафиксировал публичный master 9363ac5. Лаборатория — это PHP-гаджет зафиксированного sink, loopback HTTP на 127.0.0.1:19160.

Разбор серии: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Что может сделать атакующий

Метод	Sink	Привилегия
POST firewall_rules.php order-store separator color	display_separator class="...{$separator['color']}..."	Целостность: Доказано в лаборатории: разрыв кавычки в сыром виде в class= на трёх интерполяциях. Переупорядочивание NAT — тот же sink.
тот же остаток	тот же sink	Разведка: Предположительно: хранимый XSS в origin WebGUI.
тот же остаток	тот же sink	Доступность: Не показана.

Требуется: page-firewall-rules or page-firewall-nat-portforward order-store. CSRF-magic на POST, если не указано иное. WebGUI PHP-FPM работает от root.

Требуется: page-firewall-rules or page-firewall-nat-portforward order-store. CSRF-magic на POST, если не указано иное. WebGUI PHP-FPM работает от root. CSRF-magic на POST, если не указано иное. WebGUI PHP-FPM работает от root.

Смежная поверхность, которая остаётся закрытой

Кодирование текста. Цвета UI bg-info/danger/success/warning. JS-помощник для строковых строк не соответствует row/0.

Никаких Diagnostics: Command, если эта страница также не предоставлена.

Лаборатория

cd lab
./run.sh

Loopback 127.0.0.1:19160. Compose-проект pfsense-separator-color-xss. Свидетельство PFSENSE-SEPARATOR-COLOR-XSS-WITNESS. Только loopback: 127.0.0.1:19160. Compose-проект pfsense-separator-color-xss. Свидетельство PFSENSE-SEPARATOR-COLOR-XSS-WITNESS. PHP-гаджет зафиксированных строк. Стек разбирается после запуска.

Последняя строка:

SUCCESS PFSENSE-SEPARATOR-COLOR-XSS control-class=yes trigger-unescaped=yes text-encoded=yes string-row-closed=yes nat-same-sink=yes PFSENSE-SEPARATOR-COLOR-XSS-WITNESS

Исправление

Белый список цвета разделителя. htmlspecialchars в class=.

Ссылки

• github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
• CWE-79
• Серия: https://abraxaslabs.tech/research/pfsense-ce-leftovers