当前位置: 首页 > news >正文

超过 1450 个 pfSense 服务器因错误链而遭受 RCE 攻击

在线暴露的大约 1450 个 pfSense 实例容易受到命令注入和跨站点脚本漏洞的攻击,这些漏洞如果链接起来,可能使攻击者能够在设备上执行远程代码。

pfSense 是一款流行的开源防火墙和路由器软件,允许广泛的定制和部署灵活性。

它是一种经济高效的解决方案,可满足特定需求,提供昂贵的商业产品中常见的广泛功能。

11 月中旬,SonarCloud 的研究人员发现了影响 pfSense 2.7.0 及更早版本以及 pfSense Plus 23.05.01 及更早版本的三个缺陷。

这些缺陷被跟踪为CVE-2023-42325 (XSS)、CVE-2023-42327 (XSS) 和CVE-2023-42326(命令注入)。

尽管反映的 XSS 缺陷需要受害者一方的用户操作才能起作用,但命令注入缺陷更为严重(CVSS 评分:8.8)。

pfSense Web UI 中的此漏洞是由于 shell 命令是根据用户提供的数据构造的,用于配置网络接口而未应用适当的验证。

该缺陷会影响“gifif”网络接口参数,该参数不会检查安全值,从而允许恶意攻击者在该参数中注入其他命令,从而导致其以 root 权限执行。

为了使此漏洞发挥作用,威胁参与者需要访问具有界面编辑权限的帐户,因此需要将这些缺陷链接在一起以进行强大的攻击。

CVE-2023-42325 或 CVE-2023-42327 可用于在经过身份验证的用户浏览器中执行恶意 JavaScript,以获取对其 pfSense 会话的控制权。

pfSense 的供应商 Netgate 于 2023 年 7 月 3 日收到有关这三个缺陷的报告,并于 11 月 6 日 (pfSense Plus 23.09) 和 11 月 16 日 (pfSense CE 2.7.1) 发布了解决这些缺陷的安全更新。

然而,在 Netgate 提供补丁一个月后,近 1500 个 pfSense 实例仍然容易受到攻击。

SonarCloud 的研究人员分享的 Shodan 扫描结果显示,在 1569 个暴露于互联网的 pfSense 实例中,42 个使用 pfSense Plus 23.09,另外 77 个运行 pfSense Community Edition 2.7.1。

这使得可通过 Shodan 直接发现的 1450 个实例 (92.4%) 容易受到上述缺陷的影响。

虽然这种暴露不会使这些实例容易立即受到损害,因为威胁行为者首先需要针对具有 XSS 缺陷的受害者,但这种暴露会产生一个重要的攻击面。

虽然易受攻击端点的数量仅占全球 pfSense 部署的一小部分,但大型企业经常使用该软件的事实使得这种状态特别危险。

能够访问具有高级权限的 pfSense 的攻击者可以轻松造成数据泄露、访问敏感的内部资源以及在受感染网络内横向移动。

http://www.lryc.cn/news/261283.html

相关文章:

  • react面试总结2
  • hive 常见存储格式和应用场景
  • PyPDF2库对PDF实现读取的应用
  • C++ stack用法详解
  • QT案例 使用WMI获取win_32类的属性值,包括Win32提供程序类中的属性
  • TCP/UDP 的特点、区别及优缺点
  • 使用 Python 使用贝叶斯神经网络从理论到实践
  • Linux 中的网站服务管理
  • 阿里云cdn设置相同的域名路径访问不同的oss目录
  • 提示(Prompt)工程中提示词的开发优化基础概念学习总结
  • C#基础——语法学习
  • vue-实现高德地图-省级行政区地块显示+悬浮显示+标签显示
  • flutter ‘Gradle Libs‘ was added by build file ‘app/build.gradle‘
  • Java中的链式编程风格与应用案例
  • MTK Android P Sensor架构(一)
  • 低代码开发与传统软件开发:未来趋势与竞争格局
  • leetcode 股票问题全序列
  • SpringBoot中日志的使用log4j2
  • 机械设备企业网站建设的效果如何
  • 设计模式之结构型设计模式(二):工厂模式 抽象工厂模式 建造者模式
  • 算法模板之单链表图文讲解
  • 【强化学习-读书笔记】表格型问题的 Model-Free 方法
  • 【手撕算法系列】k-means
  • D33|动态规划!启程!
  • C语言----文件操作(二)
  • oracle 10046事件跟踪
  • 微软自带浏览器Edge,无法关闭“保存历史记录网站的屏幕截图”解决方案
  • 讲座 | 颠覆传统摄像方式乃至计算机视觉的“脉冲视觉”
  • uniGUI学习之UniHTMLMemo1富文本编辑器
  • 详细教程 - 从零开发 鸿蒙harmonyOS应用 第四节 (鸿蒙Stage模型 登录页面 ArkTS版 推荐使用)