pfSense-pkg-RESTAPI: Rechteausweitung über HA-Berechtigung für Einstellungssynchronisierung

Zusammenfassung

Das pfSense REST API Package, eine inoffizielle Open-Source-REST- und GraphQL-API für pfSense-CE- und pfSense-Plus-Firewalls, enthält eine Rechteausweitung im HA-Endpunkt für die Einstellungssynchronisierung. Ein authentifizierter Benutzer, dem die eng gefasste Berechtigung zur Einstellungssynchronisierung erteilt wurde, kann das JWT-Signaturgeheimnis der REST API ändern, eine administrative Sitzung fälschen und volle Administratorrechte erlangen. Voraussetzung ist, dass ein Administrator diese Berechtigung vergeben hat und die ACLs der REST API das Konto nicht auf vertrauenswürdige HA-Peers beschränken.

Betroffen

• pfSense-pkg-RESTAPI vor v2.9.0 (GitHub-Advisory: bis einschliesslich v2.8.4)
• Nur Umgebungen, in denen die Berechtigung api-v2-system-restapi-settings-sync-post nicht administrativen Benutzern zugewiesen wurde und die ACLs der REST API den Zugriff nicht auf vertrauenswürdige HA-Peers beschränken

Behoben in

• Auf pfSense-pkg-RESTAPI v2.9.0 oder neuer aktualisieren. Neuere Versionen sind ebenfalls verfügbar; das Projekt empfiehlt die jeweils neueste Version.
• Hinweis: In v2.9.0 muss der hasync_username für die HA-Synchronisierung über page-all-Rechte verfügen, und hasync muss auf entfernten HA-Peers aktiviert sein.

Umgehung

• Die Berechtigung api-v2-system-restapi-settings-sync-post bei allen nicht administrativen Benutzern entfernen.
• Den Zugriff auf die API mit ACLs der REST API und/oder Firewall-Regeln auf vertrauenswürdige Administratoren und HA-Peer-IP-Adressen beschränken.

Ausnutzung

• In der Known Exploited Vulnerabilities (KEV) Liste: nicht aufgeführt.
• Öffentlicher Proof of Concept: keiner in der Advisory oder in den Recherchequellen gefunden.
• In freier Wildbahn: keine Berichte über aktive Ausnutzung gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• pfSense-pkg-RESTAPI auf v2.9.0 oder neuer aktualisieren. HA-Konfigurationen vorher testen, da für pfSense 2.9 Probleme mit der HA-Synchronisierung und der Update-Oberfläche gemeldet wurden.
• Bis zur Aktualisierung die Berechtigung zur Einstellungssynchronisierung bei nicht administrativen Konten entfernen und den API-Zugriff auf vertrauenswürdige Administratoren und HA-Peers beschränken.
• Überprüfen, welche Konten API-Berechtigungen besitzen, und dies regelmässig kontrollieren.
• API-Protokolle auf Synchronisierungsanfragen von nicht administrativen Konten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-8q8g-9f77-8g8g github.com
• pfSense REST API v2.9.0 release notes github.com
• pfSense REST API v2.10.0 release notes github.com
• pfSense REST API releases github.com
• OpenCVE CVE-2026-113779 app.opencve.io
• VulDB entry 424828 vuldb.com
• Vulners OSV CVE-2026-113779 vulners.com
• Strix CVE-2026-113779 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:13.