Plusieurs vulnérabilités de sécurité ont été découvertes dans la solution de pare-feu open source Netgate pfSense appelée pfSense, qui pourraient être enchaînées par un attaquant pour exécuter des commandes arbitraires sur des appareils sensibles.
Les problèmes concernent deux scripts intersites réfléchis (XSS) des bugs et une faille d’injection de commande, selon les nouvelles découvertes de Sonar.
« La sécurité au sein d’un réseau local est souvent plus laxiste car les administrateurs réseau font confiance à leurs pare-feu pour les protéger des attaques à distance », explique le chercheur en sécurité Oskar Zeino-Mahmalat. dit.
« Des attaquants potentiels auraient pu utiliser les vulnérabilités découvertes pour espionner le trafic ou attaquer les services au sein du réseau local. »
Battez les menaces basées sur l’IA avec Zero Trust – Webinaire pour les professionnels de la sécurité
Les mesures de sécurité traditionnelles ne suffiront pas dans le monde d’aujourd’hui. L’heure est à la sécurité Zero Trust. Sécurisez vos données comme jamais auparavant.
Impactant pfSense CE 2.7.0 et versions antérieures et pfSense Plus 23.05.1 et versions antérieures, les lacunes pourraient être exploitées en incitant un utilisateur pfSense authentifié (c’est-à-dire un utilisateur administrateur) à cliquer sur une URL spécialement conçue, qui contient une charge utile XSS qui active injection de commande.
Une brève description des défauts est donnée ci-dessous –
- CVE-2023-42325 (score CVSS : 5,4) – Une vulnérabilité XSS qui permet à un attaquant distant d’obtenir des privilèges via une URL contrefaite vers la page status_logs_filter_dynamic.php.
- CVE-2023-42327 (score CVSS : 5,4) – Une vulnérabilité XSS qui permet à un attaquant distant d’obtenir des privilèges via une URL contrefaite vers la page getserviceproviders.php.
- CVE-2023-42326 (score CVSS : 8,8) – Un manque de validation qui permet à un attaquant distant d’exécuter du code arbitraire via une requête contrefaite aux composants interfaces_gif_edit.php et interfaces_gre_edit.php.
Les attaques XSS réfléchies, également appelées attaques non persistantes, se produisent lorsqu’un attaquant envoie un script malveillant à une application Web vulnérable, qui est ensuite renvoyé dans la réponse HTTP et exécuté sur le navigateur Web de la victime.
En conséquence, les attaques de ce type sont déclenchées au moyen de liens spécialement intégrés dans des messages de phishing ou sur un site Web tiers, par exemple dans une section de commentaires ou sous la forme de liens partagés sur des publications sur les réseaux sociaux. Dans le cas de pfSense, l’acteur menaçant peut effectuer des actions dans le pare-feu avec les autorisations de la victime.
« Étant donné que le processus pfSense s’exécute en tant que root pour pouvoir modifier les paramètres réseau, l’attaquant peut exécuter des commandes système arbitraires en tant que root en utilisant cette attaque », a déclaré Zeino-Mahmalat.
Suite à une divulgation responsable le 3 juillet 2023, les failles ont été adressé dans pfSense CE 2.7.1 et pfSense Plus 23.09 sortis le mois dernier.
Le développement intervient des semaines après Sonar détaillé une faille d’exécution de code à distance dans l’intégration intégrée de npm dans Microsoft Visual Studio Code (CVE-2023-36742, score CVSS : 7,8) qui pourraient être utilisés pour exécuter des commandes arbitraires. Ce problème a été résolu par Microsoft dans le cadre de ses mises à jour du Patch Tuesday de septembre 2023.