电商型网站设计企业,优秀排版设计画册,广告传媒公司的网站应该怎么做,idzoom室内设计师网在线暴露的大约 1450 个 pfSense 实例容易受到命令注入和跨站点脚本漏洞的攻击#xff0c;这些漏洞如果链接起来#xff0c;可能使攻击者能够在设备上执行远程代码。
pfSense 是一款流行的开源防火墙和路由器软件#xff0c;允许广泛的定制和部署灵活性。
它是一种经济高效…
在线暴露的大约 1450 个 pfSense 实例容易受到命令注入和跨站点脚本漏洞的攻击这些漏洞如果链接起来可能使攻击者能够在设备上执行远程代码。
pfSense 是一款流行的开源防火墙和路由器软件允许广泛的定制和部署灵活性。
它是一种经济高效的解决方案可满足特定需求提供昂贵的商业产品中常见的广泛功能。
11 月中旬SonarCloud 的研究人员发现了影响 pfSense 2.7.0 及更早版本以及 pfSense Plus 23.05.01 及更早版本的三个缺陷。
这些缺陷被跟踪为CVE-2023-42325 (XSS)、CVE-2023-42327 (XSS) 和CVE-2023-42326命令注入。
尽管反映的 XSS 缺陷需要受害者一方的用户操作才能起作用但命令注入缺陷更为严重CVSS 评分8.8。
pfSense Web UI 中的此漏洞是由于 shell 命令是根据用户提供的数据构造的用于配置网络接口而未应用适当的验证。
该缺陷会影响“gifif”网络接口参数该参数不会检查安全值从而允许恶意攻击者在该参数中注入其他命令从而导致其以 root 权限执行。
为了使此漏洞发挥作用威胁参与者需要访问具有界面编辑权限的帐户因此需要将这些缺陷链接在一起以进行强大的攻击。
CVE-2023-42325 或 CVE-2023-42327 可用于在经过身份验证的用户浏览器中执行恶意 JavaScript以获取对其 pfSense 会话的控制权。
pfSense 的供应商 Netgate 于 2023 年 7 月 3 日收到有关这三个缺陷的报告并于 11 月 6 日 (pfSense Plus 23.09) 和 11 月 16 日 (pfSense CE 2.7.1) 发布了解决这些缺陷的安全更新。
然而在 Netgate 提供补丁一个月后近 1500 个 pfSense 实例仍然容易受到攻击。
SonarCloud 的研究人员分享的 Shodan 扫描结果显示在 1569 个暴露于互联网的 pfSense 实例中42 个使用 pfSense Plus 23.09另外 77 个运行 pfSense Community Edition 2.7.1。 这使得可通过 Shodan 直接发现的 1450 个实例 (92.4%) 容易受到上述缺陷的影响。
虽然这种暴露不会使这些实例容易立即受到损害因为威胁行为者首先需要针对具有 XSS 缺陷的受害者但这种暴露会产生一个重要的攻击面。
虽然易受攻击端点的数量仅占全球 pfSense 部署的一小部分但大型企业经常使用该软件的事实使得这种状态特别危险。
能够访问具有高级权限的 pfSense 的攻击者可以轻松造成数据泄露、访问敏感的内部资源以及在受感染网络内横向移动。
