abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-logs-filter-xss
类别： XSS 可达性： 远程
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
status_logs_filter.php POST resolve= json_encode 未使用 JSON_HEX_TAG，且默认 Content-Type 为 text/html。
| ID | 暂无 CVE |
| 类别 | XSS |
| 可达性 | 远程（除非另有说明，否则为已认证的 WebGUI） |
| CWE | CWE-79 |
| CVSS | 中危：5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| 产品 | pfSense CE |
| 受影响版本 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 认证 | 具有 page-diagnostics-logs-firewall 权限的 WebGUI 会话 |
| 许可证 | GNU Affero GPL v3.0 |
| 实验环境 | 仅 127.0.0.1 |
我固定了公共 master 分支 9363ac5。实验环境是该固定接收点的 PHP 利用组件，在 127.0.0.1:19130 上提供回环 HTTP。
系列文章：https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 方法 | 接收点 | 权限 |
|---|---|---|
| POST status_logs_filter.php resolve= | json_encode 作为 text/html | 完整性： 实验证明：在 GUI 源中反射 |
| 同一遗留点 | 同一接收点 | 侦察： 实验证明：JSON 作为 HTML 时未转义的 script 标签。 |
| 同一遗留点 | 同一接收点 | 可用性： 未展示。 |
需要： page-diagnostics-logs-firewall。除非另有说明，否则 POST 受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。
需要： page-diagnostics-logs-firewall。除非另有说明，否则 POST 受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。除非另有说明，否则 POST 受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。
application/json 加 nosniff。JSON_HEX_TAG。csrf-magic。SameSite=Strict。未认证不适用。
除非该页面也被授予权限，否则没有 Diagnostics: Command。
cd lab
./run.sh
回环 127.0.0.1:19130。Compose 项目 pfsense-logs-filter-xss。见证 PFSENSE-LOGS-FILTER-XSS-WITNESS。仅回环：127.0.0.1:19130。Compose 项目 pfsense-logs-filter-xss。见证 PFSENSE-LOGS-FILTER-XSS-WITNESS。固定行的 PHP 利用组件。运行后栈会拆除。
最后一行：
SUCCESS PFSENSE-LOGS-FILTER-XSS control-json-html=yes trigger-unescaped-script=yes PFSENSE-LOGS-FILTER-XSS-WITNESS
Content-Type application/json。json_encode JSON_HEX_TAG|JSON_HEX_AMP。
9363ac5b8651a1c7a333180425ce7719070f95f9