pfSense CE: Command Injection über OS-Befehle in Traffic Shaper Limiters

Zusammenfassung

Netgate pfSense CE in den Versionen 2.7.0 bis 2.9.0 enthält eine Command Injection über OS-Befehle im Feature Traffic Shaper Limiters. Ein authentifizierter Benutzer mit dem Privileg für Traffic Shaper Limiters kann das versteckte Nummernfeld eines Limiters manipulieren und diesen danach löschen, sodass der Wert ungequotet über /bin/sh als root an dnctl übergeben wird. Der Angriff führt zur Ausführung von Befehlen als root auf der Firewall, und ein öffentlicher Proof of Concept existiert.

Betroffen

• Netgate pfSense CE 2.7.0 bis 2.9.0 (Bereich laut CNA-Eintrag; der Bereich 2.7.x ist nicht verifiziert)
• Standardkonfiguration: nicht betroffen
• Vom Forscher getestet: 2.9.0-DEVELOPMENT, Commit 9363ac5b8651a1c7a333180425ce7719070f95f9
• Erforderliches Privileg: page-firewall-trafficshaper-limiter

Behoben in

Unbekannt. Es wurde weder eine Sicherheitsmitteilung des Herstellers noch eine korrigierte Version gefunden.

Umgehung

• Das Privileg page-firewall-trafficshaper-limiter allen Benutzern entziehen, die es nicht benötigen
• Die Benutzerliste unter System > User Manager überprüfen
• Den Zugriff auf die WebGUI auf Verwaltungsnetze beschränken und für Admin-Konten starke Authentifizierung erzwingen

Ausnutzung

• Öffentlicher Proof of Concept: ja (Repository und Write-up des Forschers, datiert auf den 14. Oktober 2026)
• Ausnutzung in freier Wildbahn: keine Hinweise gefunden, nicht in KEV gelistet
• CISA SSVC: Exploitation poc, Automatable no, Technical Impact total
• EPSS: 8 %

Unsere Empfehlung

• Prüfen, welche Benutzer das Privileg für Traffic Shaper Limiters besitzen, und es dort entziehen, wo es nicht benötigt wird
• Prüfen, dass die WebGUI nicht aus dem Internet erreichbar ist
• Die Logs auf unerwartete Limiter-Änderungen und dnctl-Aktivitäten überwachen
• Die Sicherheitsmitteilungen von Netgate auf einen Fix beobachten und sofort aktualisieren, sobald einer verfügbar ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Researcher write-up: pfSense limiter number abraxaslabs.tech
• Researcher repository: pfsense-limiter-number github.com
• pfSense source: shaper.inc (delete_queue) github.com
• Vulners CVE entry vulners.com
• Netgate pfSense traffic shaper documentation docs.netgate.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:02.