Netgate pfSense CE: Command Injection über IPsec-Mobile-Login-Banner

Zusammenfassung

pfSense CE in den Versionen 2.7.0 bis 2.9.0 enthält eine Konfigurationsinjektion im IPsec-Mobile-Login-Banner, der ohne Quoting in die strongSwan-Konfiguration geschrieben wird. Ein authentifizierter Benutzer mit dem WebGUI-Recht für IPsec Mobile kann ein Banner erstellen, das charon-Start-Skripte einschleust, die beim IPsec-Neustart als root ausgeführt werden. Der Angriff setzt keinen unauthentifizierten Zugriff voraus, führt aber zur vollständigen Befehlsausführung als root auf der Firewall.

Betroffen

• Netgate pfSense CE 2.7.0 bis 2.9.0 (Standardkonfiguration nicht betroffen)
• Getestete Labor-Version: 2.9.0-DEVELOPMENT (Commit 9363ac5)
• Angreifer benötigt das WebGUI-Recht page-vpn-ipsec-mobile

Behoben in

Unbekannt. Der referenzierte Fix-Commit 27a52d0807 wurde nicht verifiziert; es wurde weder ein Sicherheitshinweis von Netgate noch eine korrigierte Version identifiziert.

Umgehung

• Keine vom Hersteller herausgegebene Massnahme identifiziert.
• Das Recht für die IPsec-Mobile-Seite bei Benutzern entfernen, die es nicht benötigen.
• Bestehende IPsec-Mobile-Login-Banner auf unerwartete Inhalte prüfen.
• Den Zugriff auf das WebGUI auf ein Management-Netz beschränken.

Ausnutzung

• Authentifizierung erforderlich (WebGUI-Konto mit Recht für IPsec Mobile).
• Ein öffentlicher Proof of Concept des Forschers Abraxas Labs existiert; im Labor validiert.
• Keine Ausnutzung in freier Wildbahn gefunden.
• Laut einem Aggregator nicht in der CISA KEV gelistet.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Prüfen, welche Konten das Recht für IPsec Mobile besitzen, und es dort entfernen, wo es nicht benötigt wird.
• IPsec-Mobile-Login-Banner prüfen.
• Den Zugriff auf das WebGUI auf vertrauenswürdige Management-Netze beschränken.
• Sicherheitshinweise von Netgate überwachen und die korrigierte Version sofort einspielen, sobald sie veröffentlicht ist.
• Priorität: mittel für typische Umgebungen; erhöhen, wenn IPsec Mobile genutzt wird, Administratorrechte delegiert sind oder das WebGUI exponiert ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Official CVE record: VulnCheck advisory www.vulncheck.com
• Abraxas Labs write-up abraxaslabs.tech
• Abraxas Labs repository github.com
• pfSense commit 27a52d0807 (referenced fix, unverified) github.com
• pfSense ipsec.inc at referenced commit github.com
• Netgate PHP security update www.netgate.com
• OpenCVE CVE-2026-111223 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:03.