CVE-2026-58393
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 pole common_name w OpenVPN Client Specific Override akceptuje sekwencje przejścia ścieżki, a openvpn_csc_conf_write() łączy wartość do /var/etc/openvpn-csc/<vpnid>/<common_name> bez normalizacji ani sprawdzenia basename. Dotknięte procedury obsługi zdarzeń to client_connect.php i user_pass_verify.php. Uwierzytelniony użytkownik z uprawnieniami Client Specific Override może zapisać wartość przejścia, a pasujące zdarzenie OpenVPN client-connect lub uwierzytelnienia powoduje zapisanie wygenerowanego pliku CSO poza zamierzonym katalogiem. Zawartość pliku to wygenerowana konfiguracja OpenVPN, a nie dowolne bajty, a praktyczne wykorzystanie wymaga, aby atakujący spowodował przetworzenie pasującej nazwy common name lub nazwy użytkownika. Problem naprawiono w wersji 26.1.11.
Ocena ryzyka
Uwierzytelniony użytkownik może zapisać plik konfiguracyjny poza zamierzonym katalogiem, co może prowadzić do nadpisania plików lub wpływu na działanie usługi. Wymaga to jednak spełnienia dodatkowych warunków, co ogranicza praktyczne ryzyko.
Rekomendacja
Zaktualizuj OPNsense do wersji 26.1.11 lub nowszej. Ogranicz uprawnienia Client Specific Override do zaufanych użytkowników.
Inne podatności w OPNsense
Zobacz wszystkie- CVE-2026-57155Krytyczne
W OPNsense przed wersją 26.1.11 importer GeoIP dla aliasów zapory używa niezwalidowanej wartości country_code z pliku CSV do tworzenia nazw plików wyjściowych, co pozwala na path traversal. Użytkownik z uprawnieniem edycji aliasów zapory może dostarczyć złośliwe archiwum i zapisać treści jako root, a następnie wykorzystać cron do wykonania poleceń jako root.
- CVE-2026-53581Krytyczne
OPNsense to platforma zapory sieciowej oparta na FreeBSD. Przed wersją 26.1.9 opnsense/core i 26.4_20 BE/opnsense/core, podatność na przechodzenie po ścieżce w module konfiguracji NTP pozwala atakującemu nadpisać dowolne pliki w systemie jako użytkownik root. Manipulując parametrem portu szeregowego GPS lub PPS, atakujący z dostępem do konfiguracji NTP może wyjść poza zamierzony katalog i zapisać dane w dowolnym pliku.
- CVE-2026-45158Krytyczne
OPNsense to platforma zapory i routingu oparta na FreeBSD. Przed wersją 26.1.8, niesanitowane dane wejściowe od użytkownika były przekazywane do konfiguracji DHCP, co umożliwiało zdalne wykonanie kodu jako root w systemie operacyjnym.
- CVE-2026-44193Krytyczne
OPNsense to platforma zapory i routingu oparta na FreeBSD. W wersjach przed 26.1.7 metoda XMLRPC opnsense.restore_config_section nie sanitizuje danych wejściowych dostarczanych przez użytkownika, co prowadzi do możliwości zdalnego wykonania kodu.
- CVE-2023-39004Krytyczne
Podatność w OPNsense Community Edition przed wersją 23.7 oraz Business Edition przed 23.4.2 wynika z niebezpiecznych uprawnień do katalogu konfiguracyjnego (/conf/). Umożliwia ona atakującym dostęp do poufnych informacji, takich jak zahaszowane hasło roota, co może prowadzić do eskalacji uprawnień.
- CVE-2026-119560Średnie
OPNsense core w wersjach do 26.7.8 zawiera podatność na wstrzyknięcie konfiguracji, która pozwala uwierzytelnionym użytkownikom dołączać dyrektywy ntpd.conf poprzez osadzanie znaków nowej linii w polach fudge i refid. Atakujący posiadający uprawnienie page-services-ntp-gps lub PPS może przesłać znaki CR/LF poprzez services_ntpd_gps.php lub services_ntpd_pps.php, aby wstrzyknąć dyrektywy ładowane przez ntpd działający jako root.
- CVE-2026-119425Średnie
OPNsense core w wersjach 26.1.6-26.7.7 zawiera podatność polegającą na obejściu uwierzytelniania w funkcji roamingu portalu przechwytującego (captive portal), która pozwala nieuwierzytelnionym atakującym przejąć sesje autoryzowanych klientów poprzez fałszowanie obserwacji MAC-to-IP. Atakujący w tym samym segmencie warstwy 2 może wysyłać sfałszowane odpowiedzi gratuitous ARP wiążące jego IP z MAC ofiary, uzyskując dostęp do portalu z ruchem przypisanym ofierze.
- CVE-2026-119424Średnie
OPNsense core w wersjach przed 26.7.8 zawiera podatność polegającą na wstrzyknięciu wiersza konfiguracji, która pozwala uwierzytelnionym użytkownikom z uprawnieniem wireless-edit wstrzykiwać dyrektywy poprzez osadzanie znaków CR/LF w polach WPA. Atakujący mogą umieszczać znaki nowej linii w wpa.identity, wpa.passphrase lub współdzielonych sekretach RADIUS, aby dołączyć dowolne dyrektywy wpa_supplicant lub hostapd ładowane przez demony uruchamiane jako root.
- CVE-2026-119423Średnie
OPNsense core w wersjach przed 26.7.8 zawiera podatność polegającą na wstrzyknięciu do logów, która pozwala nieuwierzytelnionym atakującym umieścić adresy IP ofiar w lockout_handler poprzez przesyłanie spreparowanych nazw użytkowników logowania WebGUI. Atakujący mogą wielokrotnie przesyłać nazwy użytkowników typu 'Invalid user <victim-ip>', aby dodać ofiarę do tabeli sshlockout, blokując dostęp SSH i WebGUI oraz zabijając jej stany pf.
- CVE-2026-119409Wysokie
OPNsense przed wersją 26.7.8 zawiera podatność na wstrzyknięcie poleceń, która pozwala uwierzytelnionym użytkownikom z uprawnieniem System: Firmware wykonywać polecenia jako root poprzez zapisanie złośliwego adresu URL lustra firmware. Atakujący może przesłać metaznaki powłoki przez POST /api/core/firmware/set, które opnsense-update wykonuje za pomocą eval, a także wyłączyć weryfikację podpisów pakietów poprzez wstrzyknięcie sed.
Oryginalny opis (angielski, źródło NVD)
OPNsense is a FreeBSD based firewall and routing platform. Prior to version 26.1.11, the OpenVPN Client Specific Override common_name field accepts path traversal sequences and openvpn_csc_conf_write() concatenates the value into /var/etc/openvpn-csc/<vpnid>/<common_name> without normalization or a basename check. The affected event handlers are client_connect.php and user_pass_verify.php. An authenticated user with Client Specific Override privileges can store the traversal value, and a matching OpenVPN client-connect or authentication event causes a generated CSO file to be written outside the intended directory. The file content is generated OpenVPN configuration rather than arbitrary bytes, and practical exploitation requires the attacker to cause a matching common name or username to be processed. This issue is fixed in version 26.1.11.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS