Netgate pfSense CE: Betriebssystembefehl-Injektion im QinQ-Schnittstelleneditor

Zusammenfassung

Die Netgate pfSense CE Versionen 2.7.0 bis 2.9.0 enthalten eine Betriebssystembefehl-Injektion im QinQ-Schnittstelleneditor (interfaces_qinq_edit.php). Ein authentifizierter Benutzer mit dem Recht zur Bearbeitung von QinQ kann einen ungeprüften übergeordneten Schnittstellennamen speichern und anschliessend in ifconfig-Shell-Befehlen ausführen lassen. Eine erfolgreiche Ausnutzung führt Befehle als root auf der Firewall aus, wodurch Konfiguration, Schlüssel und angeschlossene Netze offengelegt werden können.

Betroffen

• Netgate pfSense CE 2.7.0 bis 2.9.0 (gemäss CNA-Eintrag)
• Erfordert ein WebGUI-Konto mit dem Recht page-interfaces-qinq-edit
• Das Standard-Admin-Konto besitzt dieses Recht

Behoben in

Unbekannt. Zum Zeitpunkt der Recherche wurde weder ein Herstellerhinweis noch eine korrigierte Version bestätigt.

Umgehung

• Das Recht zur Bearbeitung von QinQ nur hochvertrauenswürdigen Administratoren zuweisen
• Den Zugriff auf das WebGUI auf Management-Netze oder ein VPN beschränken
• Administrative Protokolle auf QinQ-Änderungen prüfen
• Vom Forscher vorgeschlagene Korrektur im Code: übergeordnete Schnittstellen ablehnen, die keine aktiven Schnittstellen sind, wie es der VLAN-Editor bereits tut

Ausnutzung

• Öffentlicher Proof-of-Concept verfügbar (Repository des Forschers)
• CISA SSVC: Ausnutzungsstatus 'poc', nicht automatisierbar
• Keine bekannte Ausnutzung in freier Wildbahn
• Status im CISA-KEV-Katalog nicht überprüft

Unsere Empfehlung

• Das Recht zur Bearbeitung von QinQ und Administratorrechte auf einen minimalen Kreis vertrauenswürdiger Konten beschränken
• Das WebGUI von pfSense nicht ins Internet exponieren
• Die pfSense-CE-Version prüfen und feststellen, ob der QinQ-Editor genutzt wird
• Administrative Protokolle auf unerwartete QinQ-Änderungen prüfen
• Den Herstellerfix so bald wie möglich einspielen, sobald Netgate ihn veröffentlicht, und die Sicherheitshinweise von Netgate verfolgen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: Netgate pfSense CE 2.7.0 through 2.9.0 OS Command Injection www.vulncheck.com
• Abraxas Labs write-up: pfSense QinQ parent-if abraxaslabs.tech
• Abraxas Labs research: pfSense CE leftovers abraxaslabs.tech
• pfSense source: interfaces_qinq_edit.php (line 136) github.com
• pfSense source: interfaces_qinq_edit.php (line 212) github.com
• pfSense source: interfaces.inc (line 620) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:04.