Lỗ hổng bảo mật mới được phát hiện trong phần mềm tường lửa pfSense

Tác động lên pfSense CE 2.7.0 và phiên bản thấp hơn, cũng như pfSense Plus 23.05.1 và phiên bản thấp hơn, những thiếu sót có thể được sử dụng như một vũ khí bằng cách lừa đảo một người dùng pfSense đã xác thực (ví dụ, một người dùng quản trị) để nhấp vào một URL được tạo đặc biệt, chứa một tải trọng XSS kích hoạt lệnh tiêm vào.

Mô tả ngắn gọn về các lỗ hổng được mô tả dưới đây -

CVE-2023-42325 (Điểm CVSS: 5.4) - Một lỗ hổng XSS cho phép một kẻ tấn công từ xa đạt được đặc quyền thông qua một URL được tạo cho trang status_logs_filter_dynamic.php. CVE-2023-42327 (Điểm CVSS: 5.4) - Một lỗ hổng XSS cho phép một kẻ tấn công từ xa đạt được đặc quyền thông qua một URL được tạo cho trang getserviceproviders.php. CVE-2023-42326 (Điểm CVSS: 8.8) - Sự thiếu sót trong quá trình xác nhận cho phép một kẻ tấn công từ xa thực hiện mã lệnh tùy ý thông qua một yêu cầu được tạo cho các thành phần interfaces_gif_edit.php và interfaces_gre_edit.php.

Các cuộc tấn công XSS phản ánh, còn được gọi là cuộc tấn công không lưu trữ, xảy ra khi một kẻ tấn công gửi một đoạn mã độc hại đến một ứng dụng web có lỗ hổng, sau đó được trả lại trong phản ứng HTTP và thực thi trên trình duyệt web của nạn nhân.

Do đó, các cuộc tấn công của loại này được kích hoạt thông qua các liên kết được tạo trong các tin nhắn lừa đảo hoặc trên một trang web của bên thứ ba, ví dụ, trong phần bình luận hoặc dưới dạng các liên kết được chia sẻ trên bài đăng trên mạng xã hội. Trong trường hợp của pfSense, kẻ tấn công có thể thực hiện các hành động trên tường lửa với quyền của nạn nhân.

"Sở dĩ quá trình pfSense chạy dưới dạng root để có thể thay đổi cài đặt mạng, kẻ tấn công có thể thực thi các lệnh hệ thống tùy ý dưới dạng root bằng cách sử dụng cuộc tấn công này," Zeino-Mahmalat nói.

Sau khi tiết lộ trách nhiệm vào ngày 3 tháng 7, 2023, các lỗ hổng đã được giải quyết trong pfSense CE 2.7.1 và pfSense Plus 23.09 được phát hành vào tháng trước đó.