Podatności pfSense CE

pfSense CE 2.7.0 do 2.9.0 zawiera lukę wstrzyknięcia poleceń w services_captiveportal_hasync.php, która pozwala użytkownikom z jedynie uprawnieniem Captive Portal HA wykonywać polecenia jako root. Atakujący może ustawić backwardsyncip na złośliwy serwer XMLRPC zwracający connected_users z metaznakami powłoki w polach ip lub mac, które captiveportal_load_pfctl przekazuje bez escapowania do polecenia powłoki pfctl.

pfSense CE 2.4.5 do 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom WebGUI z uprawnieniem Advanced Admin Access wykonywać polecenia jako root poprzez ustawienia Login Protection. Atakujący może przesłać wartości sshguard threshold, block time lub detection time zawierające znaki nowej linii lub $(...), które są zapisywane bez walidacji do sshguard.conf i wykonywane jako root przy restarcie.

Netgate pfSense CE w wersjach od 2.5.0 do 2.9.0 zawiera podatność OS command injection w openvpn.learn-address.sh, która pozwala uwierzytelnionym klientom VPN wykonywać polecenia jako użytkownik unbound. Atakujący może osadzić metaznaki powłoki w nazwie pospolitej certyfikatu lub nazwie użytkownika, które są interpolowane bez cudzysłowów do ciągów su -c, gdy włączona jest rejestracja klienta DNS Resolver.

pfSense CE do wersji 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego w skrypcie OpenVPN openvpn.connect_async.sh, która pozwala uwierzytelnionym użytkownikom VPN wykonywać polecenia jako root poprzez spreparowane nazwy użytkowników. Atakujący uwierzytelnieni przez RADIUS lub LDAP mogą użyć nazw użytkowników zawierających pojedyncze cudzysłowy i metaznaki powłoki, aby wydostać się z eval'owanej nazwy kotwicy pfctl przy połączeniu lub rozłączeniu.

Netgate pfSense CE 2.7.0 do 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom z uprawnieniem Traffic Shaper Limiters wykonywać polecenia root poprzez manipulację polem numeru limitera. Atakujący może przesłać złośliwą ukrytą wartość 'number' podczas edycji limitera, a następnie go usunąć, aby delete_queue() przekazało niecytowaną wartość do dnctl przez /bin/sh jako root.

Netgate pfSense CE do wersji 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom z uprawnieniem edycji Virtual IP wykonywać polecenia jako root poprzez zapisanie niezwalidowanego CARP VHID. Atakujący może podać VHID zawierający metaznaki powłoki, które wykonują się przez wywołania ifconfig w interface_ipalias_configure() lub get_carp_interface_status() podczas renderowania statusu CARP.

Netgate pfSense CE do wersji 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom z uprawnieniem edycji gateway wykonywać polecenia jako root poprzez wstrzyknięcie metaznaków powłoki do indeksu strefy link-local IPv6. Atakujący może ustawić Monitor IP bramy, którego niezwalidowana strefa zawiera ładunek, który start_dpinger() przekazuje bez escapowania do polecenia powłoki dpinger podczas stosowania monitoringu.

pfSense CE do wersji 2.9.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami Wireless Edit lub Interface Assignments może podać spreparowaną nazwę interfejsu nadrzędnego (np. ath0;<polecenie>), która jest wstawiana bez escapowania do polecenia powłoki ifconfig, co pozwala na wykonanie poleceń jako root.

pfSense CE w wersjach 2.7.0 do 2.9.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Uwierzytelniony użytkownik z uprawnieniem QinQ edit może zapisać niezwalidowaną nazwę interfejsu nadrzędnego, która następnie jest wstawiana do poleceń powłoki ifconfig, umożliwiając wykonanie poleceń jako root.

W pfSense CE w pliku suricata/suricata_ip_reputation.php parametr iplist nie jest oczyszczany z sekwencji umożliwiających przechodzenie do katalogów nadrzędnych. Wartość ta jest bezpośrednio używana w operacji sprawdzania istnienia pliku, co pozwala uwierzytelnionemu atakującemu na enumerację plików na serwerze.

W pfSense CE w pliku /usr/local/www/suricata/suricata_filecheck.php wartość parametru filehash jest wyświetlana bez oczyszczania ze znaków/ciągów związanych z HTML. Może to prowadzić do odbitego cross-site scripting (XSS), jeśli ofiara jest uwierzytelniona.

Netgate pfSense CE w wersjach od 2.7.1 do 2.9.0 zawiera podatność reflected cross-site scripting w firewall_rules.php, która pozwala zdalnym atakującym wstrzyknąć skrypt poprzez niekodowany parametr if. Gdy włączona jest nie domyślna opcja Require Firewall Interface, atakujący może nakłonić użytkowników z uprawnieniami do reguł firewalla do otwarcia spreparowanego linku GET, aby wykonać skrypt w WebGUI z ich uprawnieniami.

Netgate pfSense CE w wersjach od 2.3.0 do 2.9.0 zawiera podatność stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom z uprawnieniami Firewall: Rules lub NAT: Port Forward wstrzyknąć skrypty poprzez pole koloru separatora. Atakujący może przesłać spreparowaną wartość koloru separator[] , którą display_separator() renderuje bez kodowania w atrybutach class, wykonując się w przeglądarkach administratorów w celu wykonania akcji WebGUI z ich uprawnieniami.

Netgate pfSense CE do wersji 2.9.0 zawiera lukę obejścia autoryzacji, która pozwala użytkownikom WebGUI z uprawnieniami tylko do odczytu zastąpić plik config.xml, ponieważ funkcje config_restore() i config_install() ignorują uprawnienie 'User - Config: Deny Config Write'. Atakujący posiadający uprawnienia do stron services_acb.php, uploadconfig.php, diag_confbak.php lub diag_backup.php mogą wgrać wybrany config.xml i uzyskać wykonanie kodu jako root po przeładowaniu lub restarcie.

Netgate pfSense CE w wersji do 2.9.0 zawiera podatność lokalnego odczytu plików, która pozwala użytkownikom z uprawnieniami klienta Dynamic DNS odczytywać pliki jako root poprzez ustawienie niestandardowego adresu URL aktualizacji file:// w services_dyndns_edit.php. Atakujący może ustawić niepasujący ciąg Result Match, aby _checkStatus() zalogował zawartość plików, takich jak /conf/config.xml lub /etc/master.passwd, do logu systemowego.

Netgate pfSense CE w wersjach od 2.7.1 do 2.9.0 zawiera podatność CRLF injection w services_unbound_advanced.php, która pozwala uwierzytelnionym użytkownikom z uprawnieniami DNS Resolver: Advanced wstrzyknąć dyrektywy Unbound. Atakujący może osadzić znaki CR/LF w niezwalidowanym parametrze sock_queue_timeout, który jest zapisywany bezpośrednio do unbound.conf, aby nadpisać lokalne rekordy i przekierowywanie dla wszystkich klientów.

Netgate pfSense CE w wersji do 2.9.0 zawiera podatność CRLF injection w services_unbound_acls.php, która pozwala uwierzytelnionym użytkownikom z uprawnieniami DNS Resolver: Access Lists wstrzyknąć dyrektywy konfiguracji Unbound. Atakujący może osadzić znaki CR/LF w polach aclname lub aclaction zapisywanych do access_lists.conf, aby dodać dyrektywy local-data, local-zone lub forward-zone i kontrolować odpowiedzi DNS dla klientów LAN.

Netgate pfSense CE 2.7.0 do 2.9.0 zawiera lukę wstrzyknięcia konfiguracji, która pozwala uwierzytelnionym użytkownikom z uprawnieniem IPsec Mobile wykonywać polecenia jako root poprzez pole login_banner. Atakujący może przesłać jednoliniowy banner zawierający '}', aby wydostać się z niecytowanej wartości atrybutu strongswan.conf i zdefiniować wpisy charon.start-scripts, które charon wykonuje jako root przy restarcie.

Netgate pfSense CE w wersji do 2.9.0 zawiera podatność php.ini injection, która pozwala uwierzytelnionym użytkownikom z uprawnieniami General Setup wstrzyknąć dyrektywy poprzez przesłanie niezwalidowanej wartości strefy czasowej. Atakujący może osadzić cudzysłów i znak nowej linii, aby dodać auto_prepend_file wskazujący na /var/db/zoneinfo, wykonując PHP jako root po regeneracji php.ini przy starcie lub restarcie php-fpm.

Netgate pfSense CE w wersji do 2.9.0 zawiera podatność configuration injection, która pozwala uwierzytelnionym użytkownikom WebGUI wstrzyknąć polecenia mpd5 poprzez przesłanie nieescapowanego wspólnego sekretu RADIUS. Atakujący z uprawnieniami do edycji L2TP lub PPPoE Server może wysłać sekret zawierający cudzysłów i znak nowej linii do vpn_l2tp.php lub services_pppoe_edit.php, dodając up-script, który wykonuje się jako root przy rozpoczęciu sesji.

pfSense CE do wersji 2.9.0 zawiera lukę wstrzyknięcia do crontab w interfaces_ppps_edit.php, która pozwala uwierzytelnionym użytkownikom wykonywać polecenia jako root poprzez wstrzyknięcie znaków nowej linii do pól ptpid lub reset hour/minute. Atakujący posiadający uprawnienie 'WebCfg - Interfaces: PPPs: Edit' mogą przesłać spreparowane wartości POST, które configure_cron() zapisuje bez escapowania do /etc/crontab, uruchamiając dowolne polecenia root według harmonogramu.

Netgate pfSense CE do wersji 2.9.0 zawiera podatność na wstrzyknięcie nowej linii w pliku services_pppoe_edit.php. Użytkownicy z uprawnieniem edycji serwera PPPoE mogą przez niezwalidowane pole username dodać wpis mpd.secret zaczynający się od '!', co powoduje wykonanie poleceń jako root przez mpd5 podczas uwierzytelniania klienta PPPoE.

W pfSense CE w pliku suricata_app_parsers.php wartość parametru policy_name nie jest oczyszczana z ciągów/znaków HTML przed bezpośrednim wyświetleniem. Może to prowadzić do trwałego ataku typu cross-site scripting (XSS). Atakujący musi być uwierzytelniony i posiadać co najmniej uprawnienia 'WebCfg - Services: suricata package'.

W pfSense CE w pliku suricata_flow_stream.php wartość parametru policy_name nie jest oczyszczana z ciągów/znaków HTML przed bezpośrednim wyświetleniem. Może to prowadzić do trwałego ataku typu cross-site scripting (XSS). Atakujący musi być uwierzytelniony i posiadać co najmniej uprawnienia 'WebCfg - Services: suricata package'.

W pfSense CE w pliku /usr/local/www/snort/snort_ip_reputation.php parametr iplist nie jest odpowiednio oczyszczany z znaków umożliwiających przejście do katalogu nadrzędnego przed sprawdzeniem istnienia pliku. Mimo że zawartość pliku nie jest odczytywana, serwer ujawnia, czy plik istnieje, co pozwala atakującemu na enumerację plików na serwerze. Atak wymaga uwierzytelnienia z uprawnieniami co najmniej 'WebCfg - Services: Snort package'.

W pfSense CE w pliku /usr/local/www/haproxy/haproxy_stats.php wartość parametru showsticktablecontent jest wyświetlana po odczytaniu z żądań HTTP GET. Umożliwia to odbity atak XSS, gdy ofiara jest uwierzytelniona.