OPNsense core: Path traversal trong cấu hình NTP cho phép ghi đè tệp tùy ý với quyền root

OPNsense là một nền tảng firewall và routing dựa trên FreeBSD. Trước phiên bản 26.1.9 của opnsense/core và phiên bản 26.4_20 của BE/opnsense/core, một lỗ hổng path traversal trong mô-đun cấu hình NTP cho phép kẻ tấn công ghi đè các tệp tùy ý trên hệ thống với quyền root. Bằng cách thao túng tham số cổng serial GPS hoặc PPS, kẻ tấn công có quyền truy cập vào cấu hình NTP có thể thoát khỏi thư mục dự kiến và buộc hệ thống ghi dữ liệu do người dùng kiểm soát vào bất kỳ tệp nào trên filesystem. Phiên bản 26.1.9 của opnsense/core và phiên bản 26.4_20 của BE/opnsense/core đã vá vấn đề này.

• opnsense/core: bị ảnh hưởng ở các phiên bản <= 26.1.8; bản sửa được advisory của nhà phát triển xác định là 26.1.9. • BE/opnsense/core: advisory của nhà phát triển xác định các phiên bản <= 26.4_14 bị ảnh hưởng; bản sửa là 26.4_20. • Hai ranh giới trên là theo từng nhánh và không nên được gộp thành một phạm vi chung. Trạng thái của các nhánh song song hoặc các phiên bản nằm ngoài những phạm vi được xác nhận này chưa được thiết lập bởi bằng chứng hiện có.

Lỗ hổng nằm trong mô-đun cấu hình NTP, cụ thể ở các hàm ntpd_configure_gps() và ntpd_configure_pps() trong src/etc/inc/ntpd.inc. Khi NTP được cấu hình sử dụng thiết bị GPS, giá trị cổng serial do người dùng cung cấp, lấy từ $config['ntpd']['gps']['port'], được nối trực tiếp vào đường dẫn /dev/ mà không được chuẩn hóa hoặc kiểm tra hợp lệ. Cách xử lý này cho phép các phần tử traversal trong giá trị cổng thoát khỏi thư mục dự kiến và khiến hệ thống ghi dữ liệu do kẻ tấn công kiểm soát vào tệp khác. Kẻ tấn công cần quyền truy cập vào cấu hình NTP và kiểm soát tham số cổng serial; hồ sơ mô tả đường tấn công qua mạng, độ phức tạp thấp và không cần tương tác bổ sung của người dùng, nhưng yêu cầu quyền cao. Advisory cho biết tệp đích trong PoC phải tồn tại từ trước. Chi tiết triển khai của bản vá và toàn bộ phạm vi cấu hình bị ảnh hưởng chưa được công bố.

Lỗ hổng có thể bị khai thác qua giao diện quản trị hoặc vùng quản lý có thể truy cập qua mạng nếu kẻ tấn công đã có quyền truy cập vào cấu hình NTP. Việc khai thác yêu cầu quyền cao, không cần người dùng khác tương tác và không phụ thuộc vào một điều kiện phức tạp được nêu trong hồ sơ. Advisory của nhà phát triển có kèm proof of concept công khai cho việc ghi đè tệp, nhưng entry này không lặp lại payload hoặc chuỗi khai thác. Bằng chứng hiện có xác nhận PoC công khai, nhưng không ghi nhận việc lỗ hổng đã bị khai thác trong một chiến dịch, nạn nhân hoặc sự cố cụ thể.

Khai thác thành công cho phép ghi đè tệp tùy ý bằng quyền root, vượt ra ngoài phạm vi logic của mô-đun cấu hình NTP. Advisory mô tả kết quả là có thể dẫn đến toàn bộ hệ thống bị chiếm quyền; hậu quả thực tế phụ thuộc vào tệp bị ghi đè và nội dung được ghi vào đó. Các tác động có thể gồm thay đổi cấu hình firewall hoặc routing, ảnh hưởng đến kiểm soát truy cập, làm gián đoạn dịch vụ và làm lộ dữ liệu hoặc thông tin xác thực. Lỗ hổng không cho phép mọi người dùng tùy ý khai thác vì vẫn cần quyền cao đối với cấu hình NTP, và PoC được mô tả yêu cầu tệp đích tồn tại.

• Việc ghi đè tệp với quyền root có thể làm suy giảm tính toàn vẹn của thiết bị firewall và routing, bao gồm cấu hình quản trị hoặc thành phần điều khiển dịch vụ. • Nếu tệp bị ghi đè là tệp nhạy cảm, tác động có thể bao gồm thay đổi chính sách truy cập, gián đoạn dịch vụ, lộ dữ liệu hoặc tạo điều kiện cho việc duy trì quyền truy cập. Đây là các hậu quả có thể xảy ra, không phải sự cố đã được xác nhận trong một môi trường cụ thể. • Do OPNsense thường nằm trên đường biên mạng, việc mất kiểm soát một thiết bị bị ảnh hưởng có thể mở rộng tác động sang các mạng và dịch vụ mà thiết bị đó bảo vệ. • Điều kiện khai thác quan trọng là kẻ tấn công phải có quyền cao đối với cấu hình NTP; điều này làm giảm phạm vi người có thể khai thác nhưng không loại bỏ rủi ro đối với giao diện quản trị bị lộ hoặc tài khoản quản trị bị chiếm quyền.

1. Nâng cấp opnsense/core lên bản sửa 26.1.9 nếu hệ thống thuộc nhánh tương ứng. Với BE/opnsense/core, nâng cấp lên bản sửa 26.4_20. Đây là các mốc sửa theo từng nhánh; không nên xem một mốc là bằng chứng rằng mọi nhánh khác đều đã được xử lý.
2. Trước khi hoàn tất nâng cấp, giới hạn quyền truy cập vào giao diện quản trị và cấu hình NTP cho các quản trị viên đáng tin cậy. Đây là biện pháp giảm rủi ro tạm thời, không thay thế cho bản sửa.
3. Sau khi nâng cấp, rà soát cấu hình NTP, tính toàn vẹn của các tệp hệ thống và lịch sử thay đổi đối với các hệ thống từng cho phép người dùng không đáng tin cậy truy cập cấu hình NTP.
4. Nếu có dấu hiệu tệp nhạy cảm đã bị ghi đè, cô lập hệ thống để điều tra và thay đổi các thông tin xác thực có thể đã bị ảnh hưởng. Việc điều tra cần tính đến giới hạn đã nêu trong advisory rằng tệp đích trong PoC phải tồn tại từ trước.

1. Kiểm kê các thiết bị chạy OPNsense và xác định phiên bản của các gói opnsense/core và BE/opnsense/core, sau đó đối chiếu với các ranh giới ảnh hưởng và bản sửa trong affected_summary.
2. Xác định các hệ thống có bật cấu hình GPS hoặc PPS cho NTP và kiểm tra giá trị cổng serial để tìm các thành phần đường dẫn bất thường hoặc dấu hiệu path traversal.
3. Rà soát lịch sử thay đổi cấu hình NTP và nhật ký quản trị, nếu hệ thống có ghi nhận, như một biện pháp giám sát thận trọng; hồ sơ không cung cấp log signature hoặc IOC cụ thể.
4. Kiểm tra tính toàn vẹn của các tệp hệ thống và tệp cấu hình nhạy cảm hiện có sau những thay đổi NTP đáng ngờ, vì PoC yêu cầu tệp đích đã tồn tại.
5. Việc không phát hiện giá trị cấu hình hoặc bản ghi đáng ngờ không chứng minh hệ thống an toàn; cần xác nhận phiên bản đã được sửa.