Podatności pfSense

pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Firewall: Schedules: Edit na wstrzykiwanie dowolnego JavaScript przez parametr descr w /firewall_schedule_edit.php. Opis harmonogramu jest przechowywany bez sanityzacji HTML i następnie wstawiany do wartości atrybutu HTML w /firewall_rules.php z zastosowaniem tylko escapowania pojedynczych cudzysłowów, co umożliwia wyjście poza podwójny cudzysłów. Payload wykonuje się w przeglądarce każdego użytkownika z uprawnieniem Firewall: Rules, który przegląda listę reguł z dotkniętym harmonogramem.

pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Firewall: Rules: Edit na wstrzykiwanie dowolnego JavaScript przez parametr descr w /firewall_rules_edit.php. Opis reguły jest przechowywany w konfiguracji XML pfSense z zastosowaniem tylko escapowania backslash i bez sanityzacji HTML, a następnie renderowany bez kodowania w tabeli logów firewalla w /status_logs_filter.php. Payload wykonuje się w przeglądarce każdego użytkownika z uprawnieniem Status: Logs: Firewall, który przegląda dotknięte wpisy logów.

pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Status: Monitoring na wstrzykiwanie dowolnego JavaScript przez parametry konfiguracji wykresów w /status_monitoring.php. Wiele parametrów POST, w tym graph-left, graph-right, time-period, resolution, start-date, end-date, start-time, end-time, graph-type, invert i refresh-interval, jest łączonych i zapisywanych do globalnej konfiguracji XML pfSense bez sanityzacji, a następnie wyświetlanych bez sanityzacji w kontekście ciągu JavaScript podczas renderowania strony. Ponieważ ustawienie jest przechowywane w globalnej konfiguracji, payload wykonuje się w przeglądarce każdego użytkownika odwiedzającego stronę Status: Monitoring.

pfSense Plus (przed 26.07) i pfSense CE (do 2.8.1) zawierają podatność XSS (przechowywane) w funkcji Traffic Graphs top-talkers. Rekordy PTR z odwrotnego DNS są wstawiane bez sanityzacji do odpowiedzi AJAX i renderowane jako HTML w interfejsie administratora. Atakujący kontrolujący rekord PTR i generujący wystarczający ruch może wykonać dowolny JavaScript w przeglądarce administratora, uzyskując dostęp do sesji i możliwość tworzenia kont oraz wykonywania poleceń OS.

Podatność XSS w usłudze automatycznego tworzenia kopii zapasowych konfiguracji (ACB) w systemie pfSense CE (przed wersją 2.8.0 beta) i odpowiadających mu wersjach Plus pozwala zdalnym atakującym na wykonanie dowolnego kodu JavaScript, usunięcie kopii zapasowych lub wyciek wrażliwych informacji poprzez niesanitowane pole 'reason' oraz pochodny klucz urządzenia generowany z publicznego klucza SSH.