abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-carp-vhid
技术文章：https://abraxaslabs.tech/research/pfsense-carp-vhid
类别： RCE 可达性： 远程
pfSense CE 2.9.0-DEVELOPMENT（9363ac5）- pfsense.org
虚拟 IP 编辑功能会从 POST 请求中存储 CARP VHID，且没有进行 1-255 范围校验。Form_Select 的选项仅存在于 HTML 中。CARP 应用时会对 VHID 使用 escapeshellarg。堆叠 IP 别名应用时会在 escapeshellarg 之外插值 vhid {$carpvip['vhid']}。CARP 状态会将同一个已存储的 VHID 插值到双引号包裹的 grep 管道中；分号仍处于引号内，但命令替换仍会在 /bin/sh -c 下执行。所需权限为 VIP 编辑 + 应用，而非 Diagnostics: Command。
| ID | 暂无 CVE |
| 类别 | RCE |
| 可达性 | 远程（已认证 WebGUI） |
| CWE | CWE-78 |
| CVSS | 高危：8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 产品 | pfSense CE |
| 受影响版本 | 2.9.0-DEVELOPMENT（9363ac5b8651a1c7a333180425ce7719070f95f9）CARP VHID |
| 认证 | 具备 VIP 编辑 + 应用权限的 WebGUI 会话（状态/小部件为后续触发点） |
| 许可证 | GNU Affero GPL v3.0 |
| 实验环境 | 仅 127.0.0.1 |
我固定了公共 master 分支 9363ac5。实验环境是一个 PHP 利用链，由固定版本的 interface_carp_configure、堆叠 ipalias 的 mwexec 以及状态 exec 组成。回环地址 127.0.0.1:18830。
| 方法 | 汇聚点 | 权限 |
|---|---|---|
使用非整数 VHID POST carp VIP，然后在该 _vip{uniqid} 父对象上应用堆叠 IP 别名 | mwexec ifconfig ... alias {$gateway} {$vhid}（interfaces.inc:3238） | 完整性（实验验证）： root shell。实验：ipalias-unescaped 写入了见证文件。对同一 VHID 的 CARP 应用未写入任何内容（carp-escaped=yes）。 |
同一已存储 VHID，然后 GET status_carp.php 或渲染 carp_status.widget.php | exec grep 管道（pfsense-utils.inc:794） | 完整性（实验验证）： 双引号内的命令替换执行并写入了见证文件（status-sink=yes、status-subst=yes）。分号仍处于引号内。小部件触发点可来自另一个 GUI 会话。 |
| 同一 root shell | 主机文件系统 | 侦察（推断）： config.xml、密钥。 |
Root shell 或破坏 ifconfig | CARP / 别名设备 | 可用性（推断）： 接口 / CARP / 过滤器中断。 |
实验验证与推断： carp-escaped、ipalias-unescaped 见证文件以及状态命令替换见证文件均为实验验证。文件系统侦察和过滤器中断为基于 root PHP-FPM 的推断。
所需权限： page-firewall-virtualipaddress-edit（保存）和 page-firewall-virtualipaddresses（应用）。状态汇聚点：page-status-carp 或任何带有 CARP 小部件的仪表盘。POST 存在 CSRF。
| 攻击面 | 实验 |
|---|---|
| CARP 应用本身 | 对 VHID 使用 escapeshellarg，carp-escaped=yes |
| CARP 密码 / advbase / advskew / 子网 | is_ipaddr / 已转义 |
| 未认证 | 关闭 |
| 无 HA 凭据时通过 xmlrpc 应用相同对象 | SA-26_22 跳过列表 |
| Diagnostics: Command | 除非另行授予，否则保持关闭 |
cd lab
./run.sh
Loopback 127.0.0.1:18830。Compose 项目 pfsense-carp-vhid。镜像标签 pfsense-carp-vhid:2.9.0-dev。见证 PFSENSE-CARP-VHID-WITNESS。最后一行：
SUCCESS PFSENSE-CARP-VHID carp-escaped=yes ipalias-unescaped=yes status-sink=yes PFSENSE-CARP-VHID-WITNESS
在保存时将 VHID 限制为 1-255 的整数范围。在应用堆叠 IP 别名时以及对状态执行 grep 时，对 VHID 使用 escapeshellarg，与 CARP 应用已有的做法保持一致。
9363ac5b8651a1c7a333180425ce7719070f95f9firewall_virtual_ip.inc saveVIPinterfaces.inc 堆叠 ipalias mwexecpfsense-utils.inc CARP 状态 grep