abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-cp-maxprocperip
类别： 配置注入 可达性： 远程
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
整数检查针对的是未使用的 POST maxprocperip。maxprocperip 被原样存储，并在 server{} 内作为 limit_conn addr $maxprocperip; 输出。额外的 location/alias 会被接受。
| ID | 暂无 CVE |
| 类别 | 配置注入 |
| 可达性 | 远程（除非另有说明，需已认证的 WebGUI） |
| CWE | CWE-94 |
| CVSS | 高危：7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L |
| 产品 | pfSense CE |
| 受影响版本 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 认证 | 具有 plant with page-services-captiveportal; then unauth on the portal listener 的 WebGUI 会话 |
| 许可证 | GNU Affero GPL v3.0 |
| 实验环境 | 仅 127.0.0.1 |
我固定了公共 master 9363ac5。实验环境是该固定版本 sink 的 PHP gadget，在 127.0.0.1:19120 上提供回环 HTTP。
系列文章：https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 方法 | Sink | 权限 |
|---|---|---|
| POST services_captiveportal.php maxprocperip，然后未认证 GET portal vhost | system_generate_nginx_config limit_conn addr $maxprocperip; | 完整性： 实验环境已证明：在 CP server{} 内注入额外的 location /p { alias /oracle/; }。nginx -t 通过。 |
| 同一残留 | 同一 sink | 侦察： 实验环境已证明：未认证 GET 该 location 在 portal vhost 上返回了植入的文件，而非 GUI。未展示主机 RCE。 |
| 同一残留 | 同一 sink | 可用性： 推断：无效的 nginx 会导致该 zone 无法启动。 |
需要： plant with page-services-captiveportal; then unauth on the portal listener。除非另有说明，POST 受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。
需要： plant with page-services-captiveportal; then unauth on the portal listener。除非另有说明，POST 受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。除非另有说明，POST 受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。
GUI nginx（captive_portal=false）。未认证植入。主机 RCE。
除非该页面也被授予，否则没有 Diagnostics: Command。
cd lab
./run.sh
回环 127.0.0.1:19120。Compose 项目 pfsense-cp-maxprocperip。见证 PFSENSE-CP-MAXPROCPERIP-WITNESS。仅回环：127.0.0.1:19120。Compose 项目 pfsense-cp-maxprocperip。见证 PFSENSE-CP-MAXPROCPERIP-WITNESS。固定行的 PHP gadget。运行后栈会拆除。
最后一行：
SUCCESS PFSENSE-CP-MAXPROCPERIP control-limit-conn=yes nginx-t-control=yes trigger-inject=yes nginx-t-trigger=yes host-read=yes fail-to-start=no PFSENSE-CP-MAXPROCPERIP-WITNESS
对 maxprocperip 使用 is_numericint。拒绝花括号/分号。
9363ac5b8651a1c7a333180425ce7719070f95f9