Podatności pfSense

W Netgate pfSense w wersji 26.03.1-RELEASE występuje podatność XSS, która umożliwia atakującemu wykonanie dowolnego kodu w kontekście przeglądarki ofiary poprzez pakiet pfBlockerNG.

W Netgate pfSense Plus przed wersją 26.07 oraz pfSense CE przed 2.9.0 występuje luka Local File Inclusion (LFI) w obsłudze danych sekwencji widgetów na pulpicie (index.php). Uwierzytelniony atakujący z uprawnieniami do modyfikacji ustawień pulpitu i zapisu dowolnych plików w systemie pfSense (np. /tmp/test.widget.php) może przesłać spreparowaną wartość sekwencji widgetu zawierającą path traversal (np. ../../../../../../../../../../../tmp/test), co powoduje odczyt i wykonanie dowolnego pliku PHP jako standardowego widgetu.

Podatność na Cross-Site Scripting (XSS) w oprogramowaniu Netgate pfSense Plus (wersje <= 26.03) i pfSense CE (wersje <= 2.8.1) występuje w pliku captive_portal_status.widget.php. Zdalny atakujący może wykorzystać tę podatność do wykonania dowolnego kodu w przeglądarce ofiary.

Podatność na Cross-Site Scripting (XSS) w widżecie RSS w Netgate pfSense Plus (wersje 26.03, 25.11.1) i pfSense CE (wersja 2.8.1) pozwala zdalnym uwierzytelnionym atakującym na wstrzyknięcie dowolnego JavaScriptu poprzez złośliwą treść w tytule kanału RSS. Wstrzyknięty skrypt wykonuje się w przeglądarce każdego uwierzytelnionego użytkownika, który przegląda pulpit nawigacyjny, z powodu niedostatecznej sanityzacji danych tytułu przed renderowaniem w widżecie.

pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Firewall: Schedules: Edit na wstrzykiwanie dowolnego JavaScript przez parametr descr w /firewall_schedule_edit.php. Opis harmonogramu jest przechowywany bez sanityzacji HTML i następnie wstawiany do wartości atrybutu HTML w /firewall_rules.php z zastosowaniem tylko escapowania pojedynczych cudzysłowów, co umożliwia wyjście poza podwójny cudzysłów. Payload wykonuje się w przeglądarce każdego użytkownika z uprawnieniem Firewall: Rules, który przegląda listę reguł z dotkniętym harmonogramem.

pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Firewall: Rules: Edit na wstrzykiwanie dowolnego JavaScript przez parametr descr w /firewall_rules_edit.php. Opis reguły jest przechowywany w konfiguracji XML pfSense z zastosowaniem tylko escapowania backslash i bez sanityzacji HTML, a następnie renderowany bez kodowania w tabeli logów firewalla w /status_logs_filter.php. Payload wykonuje się w przeglądarce każdego użytkownika z uprawnieniem Status: Logs: Firewall, który przegląda dotknięte wpisy logów.

pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Status: Monitoring na wstrzykiwanie dowolnego JavaScript przez parametry konfiguracji wykresów w /status_monitoring.php. Wiele parametrów POST, w tym graph-left, graph-right, time-period, resolution, start-date, end-date, start-time, end-time, graph-type, invert i refresh-interval, jest łączonych i zapisywanych do globalnej konfiguracji XML pfSense bez sanityzacji, a następnie wyświetlanych bez sanityzacji w kontekście ciągu JavaScript podczas renderowania strony. Ponieważ ustawienie jest przechowywane w globalnej konfiguracji, payload wykonuje się w przeglądarce każdego użytkownika odwiedzającego stronę Status: Monitoring.

pfSense Plus (przed 26.07) i pfSense CE (do 2.8.1) zawierają podatność XSS (przechowywane) w funkcji Traffic Graphs top-talkers. Rekordy PTR z odwrotnego DNS są wstawiane bez sanityzacji do odpowiedzi AJAX i renderowane jako HTML w interfejsie administratora. Atakujący kontrolujący rekord PTR i generujący wystarczający ruch może wykonać dowolny JavaScript w przeglądarce administratora, uzyskując dostęp do sesji i możliwość tworzenia kont oraz wykonywania poleceń OS.

Podatność XSS w usłudze automatycznego tworzenia kopii zapasowych konfiguracji (ACB) w systemie pfSense CE (przed wersją 2.8.0 beta) i odpowiadających mu wersjach Plus pozwala zdalnym atakującym na wykonanie dowolnego kodu JavaScript, usunięcie kopii zapasowych lub wyciek wrażliwych informacji poprzez niesanitowane pole 'reason' oraz pochodny klucz urządzenia generowany z publicznego klucza SSH.