Netgate pfSense CE: OS-Command-Injection über CARP VHID

Zusammenfassung

Netgate pfSense CE bis einschliesslich 2.9.0 enthält eine OS-Command-Injection bei der Verarbeitung von CARP-Virtual-IP-Einstellungen. Ein authentifizierter Benutzer mit Berechtigung zum Bearbeiten von Virtual IPs kann einen manipulierten CARP-VHID-Wert speichern, der ungeschützt an Shell-Befehle übergeben wird und als root ausgeführt wird. Eine erfolgreiche Ausnutzung gibt einem Angreifer die volle Kontrolle über die Firewall, deren Datenverkehr und die angeschlossenen Netzwerke. Für diese CVE ist noch kein Herstellerfix oder Advisory veröffentlicht.

Betroffen

• Netgate pfSense CE bis einschliesslich 2.9.0 (gemäss CNA-Daten)
• Standardkonfigurationen sind gemäss CNA-Daten nicht betroffen
• Plus-Editionen sind in den CVE-Daten nicht genannt

Behoben in

Unbekannt.

Umgehung

• Zugriff auf die pfSense-Weboberfläche auf Management-Netzwerke oder VPN beschränken
• Rechte zum Bearbeiten und Anwenden von Virtual IPs auf ein Minimum an Administratoren beschränken
• Bestehende Virtual-IP- und CARP-Konfigurationen auf unerwartete VHID-Werte prüfen
• Es ist keine Herstellermassnahme veröffentlicht

Ausnutzung

• Ein öffentlicher Proof of Concept existiert (GitHub, vom Forscher veröffentlicht)
• CISA-SSVC-Bewertung: Exploitation-Status PoC, nicht automatisierbar
• EPSS etwa 7 Prozent (Vulners)
• Keine Hinweise auf aktive Ausnutzung gefunden; nicht gegen den CISA-KEV-Katalog geprüft

Unsere Empfehlung

• Prüfen, ob pfSense CE im Einsatz ist und ob die Weboberfläche aus dem Internet erreichbar ist
• Weboberfläche auf vertrauenswürdige Management-Netzwerke oder VPN beschränken
• Anzahl der Konten mit Berechtigung zum Bearbeiten und Anwenden von Virtual IPs reduzieren und prüfen
• Virtual-IP- und CARP-Einstellungen auf unerwartete Werte prüfen
• Netgate-Advisories und den NVD-Eintrag überwachen und den Fix einspielen, sobald er veröffentlicht ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Abraxas Labs research: pfSense CARP VHID abraxaslabs.tech
• VulnCheck advisory: Netgate pfSense CE OS command injection via CARP VHID www.vulncheck.com
• Vulners CVE record CVE-2026-111217 vulners.com
• Vulners CNA record CVE-2026-111217 vulners.com
• pfSense source: CARP status grep (pfsense-utils.inc) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:01.