Phát hiện lỗ hổng bảo mật mới trong phần mềm firewall pfSense

Nhiều lỗ hổng bảo mật đã được phát hiện trong giải pháp firewall mã nguồn mở pfSense, có thể bị kẻ tấn công lạm dụng khai thác để thực thi các lệnh tùy ý trên thiết bị bị ảnh hưởng.

Theo phát hiện từ Sonar, các vấn đề liên quan đến hai lỗi reflected cross-site scripting (XSS) và một lỗ hổng command injection.

Nhà nghiên cứu bảo mật Oskar Zeino-Mahmalat cho biết: “Việc bảo mật bên trong mạng cục bộ thường lỏng lẻo hơn do các quản trị viên mạng tin tưởng vào firewall của họ để bảo vệ họ khỏi các cuộc tấn công từ xa”.

“Những kẻ tấn công tiềm năng có thể đã sử dụng các lỗ hổng được phát hiện để theo dõi lưu lượng truy cập hoặc tấn công các dịch vụ bên trong mạng cục bộ.”

Các lỗ hổng ảnh hưởng đến đến phiên bản từ pfSense CE 2.7.0 trở xuống và từ pfSense Plus 23.05.1 trở xuống, có thể được khai thác bằng cách lừa người dùng pfSense đã được xác thực (tức là người dùng quản trị viên) nhấp vào một URL độc hại, chứa payload XSS được dùng để kích hoạt command injection.

Dưới đây là mô tả ngắn gọn về các lỗ hổng:

- CVE-2023-42325 (điểm CVSS: 5.4) - lỗ hổng XSS cho phép kẻ tấn công từ xa giành được các đặc quyền thông qua một url độc hại dẫn đến trang status_logs_filter_dynamic.php.

- CVE-2023-42327 (điểm CVSS: 5.4) - lỗ hổng XSS cho phép kẻ tấn công từ xa giành được các đặc quyền thông qua một URL độc hại dẫn đến trang getserviceproviders.php.

- CVE-2023-42326  (điểm CVSS: 8,8) - vấn đề thiếu xác thực cho phép kẻ tấn công từ xa thực thi mã tùy ý thông qua một request độc hại đến interfaces_gif_edit.php và interfaces_gre_edit.php.

Các cuộc tấn công Reflected XSS xảy ra khi kẻ tấn công gửi một tập lệnh độc hại đến một ứng dụng web dễ bị tấn công, sau đó tập lệnh này được thêm vào trong phản hồi HTTP và được thực thi trên trình duyệt web của nạn nhân.

Các cuộc tấn công kiểu này thường được kích hoạt bằng các liên kết được gửi trong tin nhắn lừa đảo hoặc trang web của bên thứ ba, chẳng hạn như trong phần bình luận hoặc dưới dạng liên kết được chia sẻ trên các bài đăng trên mạng xã hội. Trong trường hợp của pfSense, kẻ đe dọa có thể thực hiện các hành động trong firewall với các quyền của nạn nhân.

Zeino-Mahmalat cho biết: “Vì tiến trình pfSense chạy với quyền root để có thể thay đổi các cài đặt mạng, nên kẻ tấn công có thể thực thi các lệnh hệ thống tùy ý với quyền root bằng cách sử dụng cuộc tấn công này”.

Sau khi được báo cáo vào ngày 3 tháng 7 năm 2023, các lỗ hổng đã được giải quyết trong phiên bản pfSense CE 2.7.1 và pfSense Plus 23.09 được phát hành vào tháng trước.

Để giảm thiểu các nguy cơ bảo mật, quản trị viên nên kiểm tra và cập nhật bản vá cho phiên bản pfSense đang sử dụng càng sớm càng tốt.

Nguồn: thehackernews.com.