Podatności OPNsense

W OPNsense przed wersją 26.1.11 importer GeoIP dla aliasów zapory używa niezwalidowanej wartości country_code z pliku CSV do tworzenia nazw plików wyjściowych, co pozwala na path traversal. Użytkownik z uprawnieniem edycji aliasów zapory może dostarczyć złośliwe archiwum i zapisać treści jako root, a następnie wykorzystać cron do wykonania poleceń jako root.

OPNsense to platforma zapory sieciowej oparta na FreeBSD. Przed wersją 26.1.9 opnsense/core i 26.4_20 BE/opnsense/core, podatność na przechodzenie po ścieżce w module konfiguracji NTP pozwala atakującemu nadpisać dowolne pliki w systemie jako użytkownik root. Manipulując parametrem portu szeregowego GPS lub PPS, atakujący z dostępem do konfiguracji NTP może wyjść poza zamierzony katalog i zapisać dane w dowolnym pliku.

OPNsense to platforma zapory i routingu oparta na FreeBSD. Przed wersją 26.1.8, niesanitowane dane wejściowe od użytkownika były przekazywane do konfiguracji DHCP, co umożliwiało zdalne wykonanie kodu jako root w systemie operacyjnym.

OPNsense to platforma zapory i routingu oparta na FreeBSD. W wersjach przed 26.1.7 metoda XMLRPC opnsense.restore_config_section nie sanitizuje danych wejściowych dostarczanych przez użytkownika, co prowadzi do możliwości zdalnego wykonania kodu.

Podatność w OPNsense Community Edition przed wersją 23.7 oraz Business Edition przed 23.4.2 wynika z niebezpiecznych uprawnień do katalogu konfiguracyjnego (/conf/). Umożliwia ona atakującym dostęp do poufnych informacji, takich jak zahaszowane hasło roota, co może prowadzić do eskalacji uprawnień.

OPNsense core w wersjach do 26.7.8 zawiera podatność na wstrzyknięcie konfiguracji, która pozwala uwierzytelnionym użytkownikom dołączać dyrektywy ntpd.conf poprzez osadzanie znaków nowej linii w polach fudge i refid. Atakujący posiadający uprawnienie page-services-ntp-gps lub PPS może przesłać znaki CR/LF poprzez services_ntpd_gps.php lub services_ntpd_pps.php, aby wstrzyknąć dyrektywy ładowane przez ntpd działający jako root.

OPNsense core w wersjach 26.1.6-26.7.7 zawiera podatność polegającą na obejściu uwierzytelniania w funkcji roamingu portalu przechwytującego (captive portal), która pozwala nieuwierzytelnionym atakującym przejąć sesje autoryzowanych klientów poprzez fałszowanie obserwacji MAC-to-IP. Atakujący w tym samym segmencie warstwy 2 może wysyłać sfałszowane odpowiedzi gratuitous ARP wiążące jego IP z MAC ofiary, uzyskując dostęp do portalu z ruchem przypisanym ofierze.

OPNsense core w wersjach przed 26.7.8 zawiera podatność polegającą na wstrzyknięciu wiersza konfiguracji, która pozwala uwierzytelnionym użytkownikom z uprawnieniem wireless-edit wstrzykiwać dyrektywy poprzez osadzanie znaków CR/LF w polach WPA. Atakujący mogą umieszczać znaki nowej linii w wpa.identity, wpa.passphrase lub współdzielonych sekretach RADIUS, aby dołączyć dowolne dyrektywy wpa_supplicant lub hostapd ładowane przez demony uruchamiane jako root.

OPNsense core w wersjach przed 26.7.8 zawiera podatność polegającą na wstrzyknięciu do logów, która pozwala nieuwierzytelnionym atakującym umieścić adresy IP ofiar w lockout_handler poprzez przesyłanie spreparowanych nazw użytkowników logowania WebGUI. Atakujący mogą wielokrotnie przesyłać nazwy użytkowników typu 'Invalid user <victim-ip>', aby dodać ofiarę do tabeli sshlockout, blokując dostęp SSH i WebGUI oraz zabijając jej stany pf.

OPNsense przed wersją 26.7.8 zawiera podatność na wstrzyknięcie poleceń, która pozwala uwierzytelnionym użytkownikom z uprawnieniem System: Firmware wykonywać polecenia jako root poprzez zapisanie złośliwego adresu URL lustra firmware. Atakujący może przesłać metaznaki powłoki przez POST /api/core/firmware/set, które opnsense-update wykonuje za pomocą eval, a także wyłączyć weryfikację podpisów pakietów poprzez wstrzyknięcie sed.

Wiele podatności typu cross-site scripting (XSS) dotyczy zapory OPNsense w wersji 26.7.1_1 i wcześniejszych, umożliwiając atakującemu z niskimi uprawnieniami wykonanie JavaScriptu w kontekście innego użytkownika odwiedzającego określoną stronę lub klikającego specjalnie spreparowany link.

OPNsense, platforma firewall i routingu oparta na FreeBSD, w wersjach przed 26.1.11 nieprawidłowo przetwarza wartości uprawnień w funkcji ACL::hasPrivilege(). Użytkownik bezpośrednio przypisany zarówno do uprawnienia zapisu komponentu, jak i user-config-readonly może zostać uznany za pozbawionego ograniczenia tylko do odczytu, co pozwala na zapisywanie zmian konfiguracji przez API MVC.

OPNsense, platforma firewall i routingu oparta na FreeBSD, w wersjach przed 26.1.11 pozwala na wstrzyknięcie znaków CR i LF w polu nazwy użytkownika formularza logowania WebGUI. Atakujący z dostępem sieciowym do strony logowania może sfałszować zdarzenia uwierzytelniania dla innego adresu IP, dodając go do tabeli sshlockout PF, lub zresetować własny licznik prób brute-force.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 ścieżka bezpiecznego usuwania osiągana przez ApiMutableModelControllerBase::delBase() interpoluje niezwalidowany token bezpiecznego usuwania z adresu URL żądania do wyrażenia XPath na config.xml przed potwierdzeniem, że token jest prawidłowym identyfikatorem. Użytkownik posiadający uprawnienie do dowolnego z dotkniętych modułów może wysłać spreparowany token do jednego z 21 dotkniętych endpointów usuwania obejmujących Traffic Shaper, DHCP relay, Dnsmasq, Firewall Category lub Kea DHCP, powodując dopasowanie XPath do danych konfiguracyjnych w modułach. Wynikowy komunikat błędu ujawnia nazwy elementów konfiguracji, opisy, ścieżki referencyjne i UUID oraz zapewnia oracle obecności podciągu XPath, w tym dla modułów, do których użytkownik normalnie nie ma dostępu. Żądanie nie modyfikuje konfiguracji ani nie wykonuje usunięcia. Problem naprawiono w wersji 26.1.11.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 plik src/www/system_advanced_admin.php wczytuje rekordy certyfikatów do $a_cert, ale pomija tę tablicę w legacy_html_escape_form_data() przed wyrenderowaniem każdej wartości descr certyfikatu w selektorze certyfikatów SSL. Opis certyfikatu akceptuje metaznaki HTML, co pozwala użytkownikowi z uprawnieniem page-system-certmanager na zapisanie znaczników, które wykonują się, gdy inny użytkownik otworzy System Settings Administration. Problem naprawiono w wersji 26.1.11.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 pole common_name w OpenVPN Client Specific Override akceptuje sekwencje przejścia ścieżki, a openvpn_csc_conf_write() łączy wartość do /var/etc/openvpn-csc/<vpnid>/<common_name> bez normalizacji ani sprawdzenia basename. Dotknięte procedury obsługi zdarzeń to client_connect.php i user_pass_verify.php. Uwierzytelniony użytkownik z uprawnieniami Client Specific Override może zapisać wartość przejścia, a pasujące zdarzenie OpenVPN client-connect lub uwierzytelnienia powoduje zapisanie wygenerowanego pliku CSO poza zamierzonym katalogiem. Zawartość pliku to wygenerowana konfiguracja OpenVPN, a nie dowolne bajty, a praktyczne wykorzystanie wymaga, aby atakujący spowodował przetworzenie pasującej nazwy common name lub nazwy użytkownika. Problem naprawiono w wersji 26.1.11.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 strona NTP GPS przechowuje wartość initcmd dostarczoną przez operatora w formie base64, stosuje legacy_html_escape_form_data() do zakodowanego ciągu, a następnie używa base64_decode() do zdekodowania wartości bezpośrednio do pola tekstowego polecenia inicjalizacji GPS w src/www/services_ntpd_gps.php. Ponieważ dekodowanie następuje po escapowaniu, przechowywany HTML pozostaje nieescapowany w miejscu wyjścia. Użytkownik z uprawnieniem page-services-ntp-gps może zapisać wartość, która zamyka pole tekstowe, a skrypt wykonuje się w sesji każdego użytkownika, który później otworzy stronę GPS. Skrypt może odczytać materiały CSRF i wykonać uwierzytelnione działania, w tym działania dostępne dla administratora. Problem naprawiono w wersji 26.1.11.

W OPNsense przed wersją 26.1.11 nazwy kategorii i opisy aliasów zapisywane są w atrybutach HTML title bez bezpiecznego kodowania cudzysłowów. Warstwa odpowiedzi używa ENT_NOQUOTES, więc cudzysłów zamyka atrybut i pozwala dodać atrybut obsługi zdarzeń do istniejącego elementu span. Użytkownik z uprawnieniami do edycji kategorii lub aliasów zapory może zapisać złośliwą wartość, która wykona skrypt w sesji administratora otwierającego stronę reguł lub NAT.

W OPNsense przed wersją 26.1.11 widget pulpitu OpenVPN oraz widok statusu połączeń umieszczają nazwę common_name klienta w atrybutach data-common-name bez bezpiecznego kodowania cudzysłowów. Przy konfiguracji z username-as-common-name i uwierzytelnianiem RADIUS lub LDAP możliwe jest wstrzyknięcie zdarzenia i wykonanie skryptu w sesji administratora. Luka naprawiona w wersji 26.1.11.

W OPNsense przed wersją 26.1.10 moduł Trust przechowuje kontrolowane przez atakującego wartości refid i wstawia je do wyrażeń XPath, co umożliwia atakującemu z uprawnieniami CA Manager lub Certificate Manager odzyskiwanie wartości z config.xml znak po znaku. Luka naprawiona w wersji 26.1.10.

OPNsense przed wersją 26.1.9 zawiera podatność na trwałe XSS w opisie certyfikatu. Uwierzytelniony atakujący może wstrzyknąć dowolny HTML lub JavaScript przez API certyfikatów zaufania, a niesanitizowany opis jest renderowany w widżecie Certyfikaty na pulpicie nawigacyjnym, powodując wykonanie skryptu w przeglądarce każdego uwierzytelnionego użytkownika.

OPNsense przed wersją 26.1.9 zawiera podatność na trwałe XSS w opisie reguły zapory. Uwierzytelniony atakujący z uprawnieniami do zarządzania regułami zapory może wstrzyknąć dowolny HTML lub JavaScript przez endpoint API filtra, a niesanitizowany opis jest renderowany przez domyślny formatter komórki w opnsense_bootgrid.js, powodując wykonanie skryptu w przeglądarce każdego uwierzytelnionego użytkownika.

W OPNsense przed wersją 26.1.7 błąd logiki w lockout_handler pozwala nieuwierzytelnionemu atakującemu na ciągłe resetowanie licznika nieudanych uwierzytelnień dla swojego adresu IP. Wstawiając spreparowaną nazwę użytkownika zawierającą słowo kluczowe sukcesu ("Accepted" lub "Successful login") między próbami brute-force, atakujący zapobiega osiągnięciu progu blokady. Podatność naprawiono w wersji 26.1.7.

W pliku diag_backup.php systemu Deciso OPNsense występuje podatność przejścia katalogowego (directory traversal) umożliwiająca tworzenie dowolnych plików. Atakujący z sąsiedniej sieci może tworzyć dowolne pliki w instalacjach OPNsense, wymagane jest jednak uwierzytelnienie. Luka wynika z braku prawidłowej walidacji ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach, co pozwala na tworzenie plików w kontekście roota.

W OPNsense Community Edition przed wersją 23.7 oraz Business Edition przed 23.4.2 wykryto niebezpieczne uprawnienia do katalogu /tmp. Luka ta może pozwolić lokalnemu atakującemu na dostęp do wrażliwych danych lub eskalację uprawnień.