Trang NTP GPS của OPNsense Core cho phép cross-site scripting lưu trữ

OPNsense là một nền tảng tường lửa và định tuyến dựa trên FreeBSD. Trước phiên bản 26.1.11, trang NTP GPS lưu giá trị initcmd do operator cung cấp ở dạng base64, áp dụng legacy_html_escape_form_data() lên chuỗi đã mã hóa, sau đó sử dụng base64_decode() để giải mã trực tiếp giá trị vào textarea lệnh khởi tạo GPS trong src/www/services_ntpd_gps.php. Vì việc giải mã diễn ra sau khi escape, HTML được lưu vẫn không được escape tại output sink. Người dùng có quyền page-services-ntp-gps có thể lưu một giá trị làm đóng textarea, khiến script thực thi trong phiên của bất kỳ người dùng nào mở trang GPS sau đó. Script có thể đọc CSRF material và thực hiện các thao tác đã xác thực, bao gồm những thao tác mà administrator có thể thực hiện. Vấn đề này đã được sửa trong phiên bản 26.1.11.

• Nhánh 26.1: Các phiên bản trước 26.1.11 bị ảnh hưởng; 26.1.11 là phiên bản đã được vá.
• Nhánh 26.4: Các phiên bản đến và bao gồm 26.4.1 bị ảnh hưởng; 26.4.1p1 là phiên bản đã được vá.
• Phạm vi được xác nhận là OPNsense Core, cụ thể là trang cấu hình NTP GPS và trường lệnh khởi tạo GPS. Không nên suy luận trạng thái của các nhánh khác nếu chưa đối chiếu với advisory hoặc thông tin phát hành tương ứng.

Trang NTP GPS của OPNsense nhận giá trị initcmd do operator cung cấp và lưu giá trị này ở dạng base64. Mã áp dụng legacy_html_escape_form_data() lên chuỗi đã mã hóa, sau đó gọi base64_decode() khi hiển thị trực tiếp vào textarea lệnh khởi tạo GPS trong src/www/services_ntpd_gps.php. Vì giải mã diễn ra sau bước escape, nội dung HTML được lưu có thể xuất hiện lại ở output sink mà không còn được escape hiệu quả. Người dùng đã xác thực có quyền page-services-ntp-gps có thể lưu dữ liệu làm đóng textarea, sau đó script chạy trong phiên của bất kỳ người dùng nào mở trang GPS. Bằng chứng hiện có không cho thấy có lớp validation bổ sung đủ để ngăn trường hợp này.

Lỗ hổng có thể bị khai thác qua giao diện web quản trị có thể truy cập qua mạng. Kẻ tấn công cần một tài khoản đã xác thực có quyền page-services-ntp-gps để lưu nội dung độc hại, và cần một người dùng khác mở trang GPS để script thực thi trong phiên của người đó. Độ phức tạp khai thác được mô tả là thấp, nhưng tương tác của người dùng là bắt buộc. Tài liệu proof of concept công khai đã được công bố. Bản ghi hiện có không xác định liệu lỗ hổng đã bị khai thác ngoài thực tế hay chưa.

Lỗ hổng biến dữ liệu do một người dùng có quyền thấp lưu trữ thành script chạy trong context của người dùng khác. Script có thể đọc CSRF material và gửi các yêu cầu đã xác thực bằng quyền của nạn nhân, vì vậy một người dùng quản trị mở trang có thể khiến các thao tác quản trị bị thực hiện ngoài ý muốn. Tác động xuyên phiên này có thể ảnh hưởng đến tính bí mật và toàn vẹn của dữ liệu hoặc cấu hình mà nạn nhân được phép truy cập. Khả năng thay đổi, truy cập hoặc tạo tài nguyên cụ thể phụ thuộc vào quyền của nạn nhân; không có bằng chứng cho thấy lỗ hổng trực tiếp gây gián đoạn dịch vụ.

• Một tài khoản có quyền vận hành NTP GPS có thể tạo nội dung chạy trong trình duyệt của người dùng khác, làm phá vỡ ranh giới giữa các phiên quản trị.
• Khi quản trị viên mở trang bị ảnh hưởng, script có thể sử dụng quyền của phiên quản trị để thực hiện các thao tác đã xác thực, bao gồm những thao tác dành cho administrator.
• CSRF material và dữ liệu phiên có thể bị lợi dụng để truy cập hoặc thay đổi tài nguyên mà người dùng nạn nhân được phép sử dụng.
• Tác động cụ thể phụ thuộc vào quyền của người mở trang và các biện pháp kiểm soát phía trình duyệt hoặc ứng dụng. Bằng chứng hiện có không thiết lập tác động trực tiếp đến tính sẵn sàng của dịch vụ.

1. Với nhánh 26.1, nâng cấp OPNsense Core lên 26.1.11.
2. Với nhánh 26.4, nâng cấp lên 26.4.1p1.
3. Sau khi nâng cấp, kiểm tra lại trang NTP GPS và rà soát các giá trị initcmd đã lưu để loại bỏ nội dung HTML hoặc script không được phê duyệt.
4. Trong thời gian chưa thể nâng cấp, tạm thời giới hạn quyền page-services-ntp-gps cho các tài khoản thực sự cần thiết và hạn chế quyền truy cập vào giao diện quản trị. Đây là biện pháp giảm rủi ro tạm thời, không phải bản vá được vendor xác nhận.
5. Evidence hiện có không nêu workaround chính thức khác; cần xác nhận trạng thái của từng nhánh bằng advisory của OPNsense trước khi đóng xử lý.

• Kiểm kê các hệ thống đang chạy OPNsense và đối chiếu nhánh phát hành với các ranh giới bị ảnh hưởng và đã được vá.
• Kiểm tra các tài khoản được cấp quyền page-services-ntp-gps, đặc biệt những tài khoản không cần chỉnh cấu hình NTP GPS.
• Rà soát giá trị initcmd đã lưu trong cấu hình hoặc qua trang NTP GPS để tìm HTML, script, nội dung bất thường có thể đóng textarea, hoặc thay đổi không được phê duyệt.
• Rà soát audit hoặc access log hiện có để liên kết việc thay đổi cấu hình GPS với các lần người dùng đặc quyền cao mở trang này. Đây là biện pháp giám sát phòng ngừa, không phải IOC được vendor xác nhận.
• Nếu hệ thống có log cho việc tạo API key hoặc thực hiện thao tác đặc quyền, hãy đối chiếu các sự kiện đó với những lần truy cập trang GPS. Evidence hiện có không cung cấp log signature hoặc IOC chuyên biệt.