Netgate pfSense CE: Crontab-Injection über periodischen PPP-Reset

Zusammenfassung

pfSense CE bis einschliesslich 2.9.0 enthält eine Crontab-Injection-Schwachstelle in der Bearbeitungsseite für PPP-Schnittstellen (interfaces_ppps_edit.php). Ein authentifizierter Benutzer mit dem Recht 'WebCfg - Interfaces: PPPs: Edit' kann Zeilenumbrüche in die Felder ptpid bzw. Reset-Stunde/Minute einschleusen, die ungefiltert in /etc/crontab geschrieben werden. Eingeschleuste Befehle laufen danach nach Zeitplan als root, was die volle Kontrolle über die Firewall ermöglicht.

Betroffen

• pfSense CE bis einschliesslich 2.9.0
• Nur Systeme mit PPP-/PPPoE-Schnittstellen und aktiviertem periodischem Reset sind betroffen
• pfSense Plus wird in der CVE-Beschreibung nicht genannt

Behoben in

Unbekannt. Es wurde kein Herstellerhinweis und keine korrigierte CE-Version bestätigt.

Umgehung

• Das Recht 'WebCfg - Interfaces: PPPs: Edit' auf vertrauenswürdige Administratoren beschränken
• Den periodischen PPP-Reset deaktivieren, falls er nicht benötigt wird
• Den Zugriff auf die Web-GUI auf ein Management-Netz beschränken
• /etc/crontab auf unerwartete Einträge prüfen

Ausnutzung

• Öffentlicher Exploit-Code: Ein als exploit-bezogen markiertes GitHub-Repository existiert; der Inhalt wurde nicht geprüft
• CISA SSVC: Exploitation-Status poc, nicht automatisierbar
• Ausnutzung in freier Wildbahn: nicht gefunden
• EPSS: 0.00726

Unsere Empfehlung

• Prüfen, ob der periodische PPP-/PPPoE-Reset konfiguriert ist und wer das Recht zur Bearbeitung von PPP-Schnittstellen besitzt
• Die Web-GUI auf vertrauenswürdige Management-Netze beschränken und nicht benötigte Rechte entfernen
• /etc/crontab auf unerwartete Einträge prüfen
• Auf die neueste pfSense-CE-Version aktualisieren, sobald Netgates Korrektur bestätigt ist, und die Sicherheitshinweise von Netgate verfolgen
• Internet-exponierte oder Firewalls mit mehreren Administratoren priorisieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Abraxas Labs research: pfSense CE leftovers abraxaslabs.tech
• VulnCheck advisory: pfSense CE crontab injection via PPP periodic reset www.vulncheck.com
• GitHub: pfsense-pppoe-cron (public repository) github.com
• pfSense source: interfaces_ppps_edit.php github.com
• pfSense source: interfaces.inc github.com
• VulDB entry for CVE-2026-111220 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:02.