abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-l2tp-radius-mpd
类别： RCE 可达性： 远程
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
vpn.inc 对 "{$radiussecret}" 进行了插值，虽加了引号但未转义。PPP 客户端使用 get_mpd_str()；服务器端则没有。额外的 set iface up-script 会胜出。#16128 仅涉及客户端。
| ID | 暂无 CVE |
| 类别 | RCE |
| 可达性 | 远程（除非另有说明，需已认证的 WebGUI） |
| CWE | CWE-78 |
| CVSS | 高危：8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 产品 | pfSense CE |
| 受影响版本 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 认证 | 具有 page-vpn-vpnl2tp (sibling page-services-pppoeserver-edit) 的 WebGUI 会话 |
| 许可证 | GNU Affero GPL v3.0 |
| 实验环境 | 仅 127.0.0.1 |
我固定了公共 master 分支 9363ac5。该实验环境是固定接收点的 PHP gadget，在 127.0.0.1:18960 上提供回环 HTTP。
系列文章：https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 方法 | 接收点 | 权限 |
|---|---|---|
| POST vpn_l2tp.php radius secret | vpn.inc set radius server ... "{$radiussecret}" | 完整性： 实验已证实：引号闭合的 secret 添加了 set iface up-script；stub mpd 的 last-wins 执行了它并写入了见证文件。此路径上不存在 get_mpd_str。 |
| 同一遗留点 | 同一接收点 | 侦察： 推断：up-script 在下一个 L2TP 会话时以 root 身份运行。 |
| 同一遗留点 | 同一接收点 | 可用性： 推断：破坏 mpd 解析 / VPN 服务。 |
需要： page-vpn-vpnl2tp (sibling page-services-pppoeserver-edit)。除非另有说明，POST 受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。
需要： page-vpn-vpnl2tp (sibling page-services-pppoeserver-edit)。除非另有说明，POST 受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。除非另有说明，POST 受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。
PPP 客户端 get_mpd_str 在此固定版本上已存在。CONTROL secret 不会写入见证文件。
除非该页面也被授予，否则没有 Diagnostics: Command。
cd lab
./run.sh
回环 127.0.0.1:18960。Compose 项目 pfsense-l2tp-radius-mpd。见证文件 PFSENSE-L2TP-RADIUS-MPD-WITNESS。仅回环：127.0.0.1:18960。Compose 项目 pfsense-l2tp-radius-mpd。见证文件 PFSENSE-L2TP-RADIUS-MPD-WITNESS。固定行的 PHP gadget。运行结束后栈会被拆除。
最后一行：
SUCCESS PFSENSE-L2TP-RADIUS-MPD control-quoted-secret=1 control-extra-up-script=no control-witness=no trigger-extra-up-script=yes trigger-last-wins=yes trigger-witness=yes get_mpd_str=no PFSENSE-L2TP-RADIUS-MPD-WITNESS
在 L2TP 和 PPPoE 服务器配置时，将 RADIUS secret 通过 get_mpd_str 处理。
9363ac5b8651a1c7a333180425ce7719070f95f9