abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-bsnmpd-conf
类别： 配置注入 可达性： 远程
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
services_snmpd_configure 将 location := "{$snmpdcfg['syslocation']}" 进行插值。GUI 仍然只拒绝 #。额外的 read := community 行。没有植入的 .so 时不存在 include/exec。
| ID | 暂无 CVE |
| 类别 | 配置注入 |
| 可达性 | 远程（除非另有说明，需已认证的 WebGUI） |
| CWE | CWE-74 |
| CVSS | 中危：5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
| 产品 | pfSense CE |
| 受影响版本 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 认证 | 具有 page-services-snmp 权限的 WebGUI 会话 |
| 许可证 | GNU Affero GPL v3.0 |
| 实验环境 | 仅 127.0.0.1 |
我固定了公共 master 9363ac5。实验环境是该固定 sink 的一个 PHP gadget，在 127.0.0.1:19220 上提供回环 HTTP。
系列文章：https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 方法 | Sink | 权限 |
|---|---|---|
| POST services_snmp.php syslocation | location := "{$snmpdcfg['syslocation']}" | 完整性： 实验环境已证实：snmpd.conf 中出现额外的 community 行。mwexec 保持为 bsnmpd -c 。 |
| 同一遗留问题 | 同一 sink | 侦察： 推断：如果 bsnmpd 遵循第二个 read，额外的 community 可扩大 SNMP 读取范围。 |
| 同一遗留问题 | 同一 sink | 可用性： 推断：解析失败导致 snmpd 崩溃。 |
需要： page-services-snmp。除非另有说明，POST 上启用 CSRF-magic。WebGUI PHP-FPM 以 root 运行。
需要： page-services-snmp。除非另有说明，POST 上启用 CSRF-magic。WebGUI PHP-FPM 以 root 运行。除非另有说明，POST 上启用 CSRF-magic。WebGUI PHP-FPM 以 root 运行。
没有植入的 .so 时不存在 include/exec。不是 shell。
除非该页面也被授予权限，否则不存在 Diagnostics: Command。
cd lab
./run.sh
回环 127.0.0.1:19220。Compose 项目 pfsense-bsnmpd-conf。见证 PFSENSE-BSNMPD-CONF-WITNESS。仅回环：127.0.0.1:19220。Compose 项目 pfsense-bsnmpd-conf。见证 PFSENSE-BSNMPD-CONF-WITNESS。固定行的 PHP gadget。运行后栈会拆除。
最后一行：
SUCCESS PFSENSE-BSNMPD-CONF control-one-syslocation=yes trigger-extra-community=yes PFSENSE-BSNMPD-CONF-WITNESS
在 location/contact/community/trap 中拒绝引号/分号/换行符。
9363ac5b8651a1c7a333180425ce7719070f95f9