Netgate pfSense CE: Command Injection in Captive Portal HA-Sync

Zusammenfassung

pfSense CE in den Versionen 2.7.0 bis 2.9.0 enthält eine Command Injection Schwachstelle auf der Seite für den Captive Portal HA-Sync. Ein Benutzer, der nur das Captive Portal HA-Privileg besitzt, kann die backwardsyncip auf einen manipulierten XMLRPC-Server setzen, dessen zurückgegebene connected_users-Daten ungeprüft an einen pfctl-Shell-Befehl übergeben werden. Dadurch lassen sich Befehle als root ausführen. Für die Ausnutzung wird ein Konto mit diesem Privileg benötigt, die Standardkonfiguration ist nicht betroffen.

Betroffen

• pfSense CE 2.7.0 bis 2.9.0 (gemäss CNA-Eintrag)
• Standardkonfiguration: nicht betroffen
• Erfordert das Captive Portal HA-Privileg (page-services-captiveportal-hasync)

Behoben in

Unbekannt. Zum Zeitpunkt der Recherche wurde keine Herstellerversion mit Korrektur gefunden.

Umgehung

• Das Captive Portal HA-Privileg bei Konten entfernen, die es nicht benötigen.
• Captive Portal HA-Sync deaktivieren, falls er nicht verwendet wird.
• Den Zugriff auf die WebGUI auf Verwaltungsnetze beschränken. Nicht durch den Hersteller bestätigt.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus 'poc', nicht automatisierbar.
• Ein öffentlicher Proof-of-Concept des Forschers ist auf GitHub verfügbar.
• Ein Aggregator meldet aktive Ausnutzung; dies ist nicht verifiziert. VulDB meldet keinen verfügbaren Exploit.
• Nicht gegen den CISA-KEV-Katalog geprüft.

Unsere Empfehlung

• Unter System > User Manager prüfen, welche Benutzer das Captive Portal HA-Privileg besitzen, und es dort entfernen, wo es nicht nötig ist.
• Captive Portal HA-Sync deaktivieren, falls ungenutzt.
• Den Zugriff auf die WebGUI auf Admin-Netze beschränken und Administrator-Anmeldungen überprüfen.
• Netgate Security Advisories überwachen und die korrigierte Version einspielen, sobald sie verfügbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Netgate pfSense CE 2.7.0 through 2.9.0 Command Injection via Captive Portal HA Sync (VulnCheck) www.vulncheck.com
• pfSense CE leftovers, part 1 (Abraxas Labs) abraxaslabs.tech
• pfsense-cp-ha-pfctl lab repository (GitHub) github.com
• captiveportal.inc at commit 9363ac5 (pfSense GitHub) github.com
• services_captiveportal_hasync.php at commit 9363ac5 (pfSense GitHub) github.com
• CVE-2026-111229 record (Vulners) vulners.com
• CVE-2026-111229 (VulDB) vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:00.