CVE-2026-58395
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 ścieżka bezpiecznego usuwania osiągana przez ApiMutableModelControllerBase::delBase() interpoluje niezwalidowany token bezpiecznego usuwania z adresu URL żądania do wyrażenia XPath na config.xml przed potwierdzeniem, że token jest prawidłowym identyfikatorem. Użytkownik posiadający uprawnienie do dowolnego z dotkniętych modułów może wysłać spreparowany token do jednego z 21 dotkniętych endpointów usuwania obejmujących Traffic Shaper, DHCP relay, Dnsmasq, Firewall Category lub Kea DHCP, powodując dopasowanie XPath do danych konfiguracyjnych w modułach. Wynikowy komunikat błędu ujawnia nazwy elementów konfiguracji, opisy, ścieżki referencyjne i UUID oraz zapewnia oracle obecności podciągu XPath, w tym dla modułów, do których użytkownik normalnie nie ma dostępu. Żądanie nie modyfikuje konfiguracji ani nie wykonuje usunięcia. Problem naprawiono w wersji 26.1.11.
Ocena ryzyka
Użytkownik z ograniczonymi uprawnieniami może uzyskać informacje o konfiguracji z modułów, do których nie ma dostępu, co może ułatwić dalsze ataki. Wyciek nazw, opisów i UUID elementów konfiguracji może posłużyć do mapowania środowiska.
Rekomendacja
Zaktualizuj OPNsense do wersji 26.1.11 lub nowszej. Ogranicz uprawnienia do modułów objętych problemem tylko do niezbędnych użytkowników.
Inne podatności w OPNsense
Zobacz wszystkie- CVE-2026-57155Krytyczne
W OPNsense przed wersją 26.1.11 importer GeoIP dla aliasów zapory używa niezwalidowanej wartości country_code z pliku CSV do tworzenia nazw plików wyjściowych, co pozwala na path traversal. Użytkownik z uprawnieniem edycji aliasów zapory może dostarczyć złośliwe archiwum i zapisać treści jako root, a następnie wykorzystać cron do wykonania poleceń jako root.
- CVE-2026-53581Krytyczne
OPNsense to platforma zapory sieciowej oparta na FreeBSD. Przed wersją 26.1.9 opnsense/core i 26.4_20 BE/opnsense/core, podatność na przechodzenie po ścieżce w module konfiguracji NTP pozwala atakującemu nadpisać dowolne pliki w systemie jako użytkownik root. Manipulując parametrem portu szeregowego GPS lub PPS, atakujący z dostępem do konfiguracji NTP może wyjść poza zamierzony katalog i zapisać dane w dowolnym pliku.
- CVE-2026-45158Krytyczne
OPNsense to platforma zapory i routingu oparta na FreeBSD. Przed wersją 26.1.8, niesanitowane dane wejściowe od użytkownika były przekazywane do konfiguracji DHCP, co umożliwiało zdalne wykonanie kodu jako root w systemie operacyjnym.
- CVE-2026-44193Krytyczne
OPNsense to platforma zapory i routingu oparta na FreeBSD. W wersjach przed 26.1.7 metoda XMLRPC opnsense.restore_config_section nie sanitizuje danych wejściowych dostarczanych przez użytkownika, co prowadzi do możliwości zdalnego wykonania kodu.
- CVE-2023-39004Krytyczne
Podatność w OPNsense Community Edition przed wersją 23.7 oraz Business Edition przed 23.4.2 wynika z niebezpiecznych uprawnień do katalogu konfiguracyjnego (/conf/). Umożliwia ona atakującym dostęp do poufnych informacji, takich jak zahaszowane hasło roota, co może prowadzić do eskalacji uprawnień.
- CVE-2026-119560Średnie
OPNsense core w wersjach do 26.7.8 zawiera podatność na wstrzyknięcie konfiguracji, która pozwala uwierzytelnionym użytkownikom dołączać dyrektywy ntpd.conf poprzez osadzanie znaków nowej linii w polach fudge i refid. Atakujący posiadający uprawnienie page-services-ntp-gps lub PPS może przesłać znaki CR/LF poprzez services_ntpd_gps.php lub services_ntpd_pps.php, aby wstrzyknąć dyrektywy ładowane przez ntpd działający jako root.
- CVE-2026-119425Średnie
OPNsense core w wersjach 26.1.6-26.7.7 zawiera podatność polegającą na obejściu uwierzytelniania w funkcji roamingu portalu przechwytującego (captive portal), która pozwala nieuwierzytelnionym atakującym przejąć sesje autoryzowanych klientów poprzez fałszowanie obserwacji MAC-to-IP. Atakujący w tym samym segmencie warstwy 2 może wysyłać sfałszowane odpowiedzi gratuitous ARP wiążące jego IP z MAC ofiary, uzyskując dostęp do portalu z ruchem przypisanym ofierze.
- CVE-2026-119424Średnie
OPNsense core w wersjach przed 26.7.8 zawiera podatność polegającą na wstrzyknięciu wiersza konfiguracji, która pozwala uwierzytelnionym użytkownikom z uprawnieniem wireless-edit wstrzykiwać dyrektywy poprzez osadzanie znaków CR/LF w polach WPA. Atakujący mogą umieszczać znaki nowej linii w wpa.identity, wpa.passphrase lub współdzielonych sekretach RADIUS, aby dołączyć dowolne dyrektywy wpa_supplicant lub hostapd ładowane przez demony uruchamiane jako root.
- CVE-2026-119423Średnie
OPNsense core w wersjach przed 26.7.8 zawiera podatność polegającą na wstrzyknięciu do logów, która pozwala nieuwierzytelnionym atakującym umieścić adresy IP ofiar w lockout_handler poprzez przesyłanie spreparowanych nazw użytkowników logowania WebGUI. Atakujący mogą wielokrotnie przesyłać nazwy użytkowników typu 'Invalid user <victim-ip>', aby dodać ofiarę do tabeli sshlockout, blokując dostęp SSH i WebGUI oraz zabijając jej stany pf.
- CVE-2026-119409Wysokie
OPNsense przed wersją 26.7.8 zawiera podatność na wstrzyknięcie poleceń, która pozwala uwierzytelnionym użytkownikom z uprawnieniem System: Firmware wykonywać polecenia jako root poprzez zapisanie złośliwego adresu URL lustra firmware. Atakujący może przesłać metaznaki powłoki przez POST /api/core/firmware/set, które opnsense-update wykonuje za pomocą eval, a także wyłączyć weryfikację podpisów pakietów poprzez wstrzyknięcie sed.
Oryginalny opis (angielski, źródło NVD)
OPNsense is a FreeBSD based firewall and routing platform. Prior to version 26.1.11, the safe-delete path reached through ApiMutableModelControllerBase::delBase() interpolates an unvalidated safe-delete token from the request URL into an XPath expression over config.xml before confirming that the token is a valid identifier. A user holding any one affected module privilege can send a crafted token to one of 21 affected delete endpoints covering Traffic Shaper, DHCP relay, Dnsmasq, Firewall Category, or Kea DHCP, causing the XPath to match configuration data across modules. The resulting error response exposes configuration item names, descriptions, reference paths, and UUIDs and provides an XPath substring-presence oracle, including for modules the user cannot otherwise access. The request does not modify configuration or perform a deletion. This issue is fixed in version 26.1.11.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS