Datum der Offenlegung: Oktober 2, 2024
Datum der Aufnahme in die KAG KEV: N/A
CVE-2024-46538 ist eine gespeicherte Cross-Site-Scripting (XSS)-Schwachstelle, die in pfSense Version 2.5.2 entdeckt wurde. Diese Schwachstelle erlaubt es Angreifern, beliebige Web-Skripte oder HTML über eine manipulierte Nutzlast auszuführen, die in die Datei $pconfig Variable innerhalb der interfaces_groups_edit.php Datei. Das Problem rührt von einer unzureichenden Bereinigung von Eingaben her, die es Angreifern ermöglicht, eine bösartige Nutzlast zu speichern, die später aktiviert werden könnte.
Ein Proof of Concept (PoC) auf GitHub, das von EQSTLab erstellt wurde, zeigt, wie diese gespeicherte XSS-Schwachstelle in pfSense 2.5.2 ausgenutzt werden kann. Wenn ein Administrator die verwundbare Seite besucht, die die injizierte $pconfig Payload enthält, wird das JavaScript aktiviert und löst die Ausführung eines beliebigen Befehls in der diag_command.php Endpunkt. Dieses JavaScript kann Formulardaten auf diag_command.phpmanipulieren und Befehle ausführen, die möglicherweise sensible Systeminformationen preisgeben.
pfSense ist eine Open-Source-Firewall- und Router-Software, die von Unternehmen zum Schutz von Netzwerkgrenzen eingesetzt wird. Einige Installationen sind für den Fernzugriff oder die Netzwerküberwachung direkt dem Internet ausgesetzt. In Version 2.5.2, wie auch in anderen pfSense-Versionen, können Administratoren versehentlich das Web-Interface, SSH oder andere Dienste auf öffentlich zugänglichen IP-Adressen aussetzen, wodurch sie für externe Bedrohungen zugänglich (und potenziell angreifbar) werden.
Offenes pfSense Web Portal
| Feld |
Einzelheiten |
| CVE-ID |
CVE-2024-46538 - CVSS 9.8 (Kritisch) zugewiesen von VulnCheck |
| Schwachstelle Beschreibung |
Eine Cross-Site-Scripting (XSS)-Schwachstelle in pfsense v2.5.2 erlaubt es Angreifern, beliebige Web-Skripte oder HTML über eine manipulierte Nutzlast auszuführen, die in die Datei $pconfig Variable bei interfaces_groups_edit.php. |
| Datum der Offenlegung |
2. Oktober 2024 |
| Betroffene Vermögenswerte |
Geschaffene Nutzlasten, die in $pconfig Variable bei interfaces_groups_edit.phpinjiziert, die die Ausführung eines beliebigen Befehls in der Datei diag_command.php wenn die Nutzlast aktiviert ist. |
| Anfällige Software-Versionen |
Version 2.5.2 |
| PoC verfügbar? |
Ja, dieses Repository von EQSTLab beschreibt, wie die Schwachstelle ausgenutzt werden kann. |
| Verwertungsstatus |
Zum Zeitpunkt der Erstellung dieses Artikels ist dieses CVE weder in der CISA-Liste der bekannten Sicherheitslücken noch in GreyNoise aufgeführt. |
| Patch-Status |
Mit Stand vom 13. November 2024 ist die neueste stabile Version 2.7.2. Diese Version enthält Sicherheitspatches und Verbesserungen, die bekannte Schwachstellen, einschließlich CVE-2024-46538, beheben. Die letzte stabile Version kann heruntergeladen werden hier. |
Censys Blickwinkel
Zum Zeitpunkt der Erstellung dieses Berichts beobachtete Censys 225,681 exponierte pfSense-Instanzen online, wobei Honeypots herausgefiltert wurden. Ein großer Teil davon (22%) befinden sich in Russland und werden gehostet in TIMEHOST-AS (ASN 212913), einem Rechenzentrum und Hosting-Anbieter. Es ist zu beachten, dass nicht alle von ihnen unbedingt anfällig sind, da keine spezifischen Geräteversionen verfügbar sind.
Karte der angezeigten pfSense Web Portal Instanzen:
In der nachstehenden Tabelle sind die 10 wichtigsten Länder mit exponierten Geräten aufgeführt.
Censys Search Abfrage:
services.tls.certificates.leaf_data.issuer.common_name:”*pfSense*” or services.software: ((vendor=”pfSense” or vendor=”Netgate”) and product=”pfSense”) and not labels:{tarpit, honeypot}
Censys ASM-Abfrage:
host.services.tls.certificates.leaf_data.issuer.common_name:”*pfSense*” or ((host.services.software.vendor=”pfSense” or host.services.software.vendor=”Netgate”) and host.services.software.product=”pfSense”) and not host.labels:{tarpit, honeypot}
Referenzen
