abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-ovpn-learn-cn
类别： RCE 可达性： 远程
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
openvpn.learn-address.sh 将 CN 插值到 su -m unbound -c "... local_data ${CN}.${DOMAIN} ..." 中，且未加引号。受 unbound/regovpnclients 控制。即使 CN 中不含 shell 字符，仍可植入 local-data。
| ID | 暂无 CVE |
| 类别 | RCE |
| 可达性 | 远程（除非另有说明，需已认证的 WebGUI） |
| CWE | CWE-78 |
| CVSS | 高危：8.1 CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 产品 | pfSense CE |
| 受影响版本 | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 认证 | 需 WebGUI 会话，且启用 OpenVPN cert client CN when Unbound Register OpenVPN clients is on |
| 许可证 | GNU Affero GPL v3.0 |
| 实验环境 | 仅限 127.0.0.1 |
我锁定了公共 master 分支 9363ac5。实验环境是该锁定代码汇点的 PHP 利用组件，在 127.0.0.1:19080 上提供回环 HTTP 服务。
系列文章：https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 方法 | 汇点 | 权限 |
|---|---|---|
| 使用恶意 CN 的 OpenVPN learn-address | openvpn.learn-address.sh su -m unbound -c ... ${CN} | 完整性： 实验已验证：CN $(w) 以 su -c 字符串身份执行了额外的 w 命令。CONTROL 还植入了未净化的 local-data。 |
| 同一遗留问题 | 同一汇点 | 侦察： 推断：以 unbound 身份执行命令。 |
| 同一遗留问题 | 同一汇点 | 可用性： 推断：污染解析器 local-data。 |
前提条件： OpenVPN cert client CN when Unbound Register OpenVPN clients is on。除非另有说明，POST 请求受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。
前提条件： OpenVPN cert client CN when Unbound Register OpenVPN clients is on。除非另有说明，POST 请求受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。除非另有说明，POST 请求受 CSRF-magic 保护。WebGUI PHP-FPM 以 root 运行。
除非启用 Register OpenVPN clients，否则关闭。本地 CN 字符集可能仍允许部分字符。
除非该页面也被授权，否则无 Diagnostics: Command。
cd lab
./run.sh
回环 127.0.0.1:19080。Compose 项目 pfsense-ovpn-learn-cn。见证标记 PFSENSE-OVPN-LEARN-CN-WITNESS。仅限回环：127.0.0.1:19080。Compose 项目 pfsense-ovpn-learn-cn。见证标记 PFSENSE-OVPN-LEARN-CN-WITNESS。锁定代码行的 PHP 利用组件。运行结束后栈会被拆除。
最后一行：
SUCCESS PFSENSE-OVPN-LEARN-CN control-local-data=yes control-no-witness=yes m24-local-data-plant=yes trigger-exec=yes PFSENSE-OVPN-LEARN-CN-WITNESS
为 CN 加引号。拒绝 shell 元字符。通过 unbound-control 保留 local-data，而不经过 shell。
9363ac5b8651a1c7a333180425ce7719070f95f9