Netgate pfSense CE: OS-Command-Injection über Login-Protection-Einstellungen

Zusammenfassung

Die pfSense-CE-Versionen 2.4.5 bis 2.9.0 enthalten eine OS-Command-Injection in den Login-Protection-Einstellungen (sshguard) der Seite Advanced Admin. Ein authentifizierter WebGUI-Benutzer mit Advanced-Admin-Rechten kann Schwellenwert-, Sperrzeit- oder Erkennungszeitwerte mit Zeilenumbrüchen oder Shell-Syntax übermitteln, die ungeprüft in sshguard.conf geschrieben und beim Neustart als root ausgeführt werden. Ein kompromittiertes Admin-Konto kann daher zur vollständigen Kontrolle über die Firewall führen.

Betroffen

• Netgate pfSense CE 2.4.5 bis 2.9.0 (gemäss CNA VulnCheck)
• Standardkonfiguration ist gemäss CNA-Eintrag nicht betroffen
• Voraussetzung ist WebGUI-Zugriff mit dem Privileg page-system-advanced-admin

Behoben in

Unbekannt. Es wurde keine Herstellerwarnung und keine korrigierte Version gefunden. Von einer Behebung darf nicht ausgegangen werden; die Netgate-Sicherheitswarnungen und Versionshinweise prüfen.

Umgehung

• WebGUI-Zugriff auf ein Management-VLAN oder VPN beschränken und von WAN entfernen
• Advanced-Admin-Rechte auf vertrauenswürdige Konten beschränken und MFA oder starke Passwörter erzwingen
• Login-Protection-Werte (Schwellenwert, Sperrzeit, Erkennungszeit) auf unerwartete Zeilenumbrüche oder shellähnliche Inhalte prüfen
• sshguard.conf auf unerwartete Änderungen überwachen

Ausnutzung

• CISA SSVC: Exploitation poc, Automatable no, Technical Impact total
• Keine Hinweise auf aktive Ausnutzung gefunden
• Öffentlicher PoC nicht bestätigt; VulDB meldet kein verfügbares Exploit
• Aufnahme im CISA-KEV-Katalog in den Quellen nicht bestätigt; direkt prüfen

Unsere Empfehlung

• Prüfen, ob das pfSense-WebGUI aus dem Internet erreichbar ist, und den Zugriff auf interne Netze oder VPN beschränken
• Sicherstellen, dass Admin-Konten MFA und starke Passwörter verwenden und Advanced-Admin-Rechte eingeschränkt sind
• Login-Protection-Einstellungen und sshguard.conf auf Auffälligkeiten prüfen
• Herstellerwarnung verfolgen und die korrigierte Version nach Veröffentlichung umgehend einspielen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• pfSense syslog.inc at commit 9363ac5 github.com
• pfSense system_advanced_admin.inc at commit 9363ac5 github.com
• Tenable CVE entry www.tenable.com
• VulDB entry vuldb.com
• Feedly CVE entry feedly.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:58.