🇰🇷 한글 설명
pfSense Plus 26.07 이전 버전 및 pfSense CE 2.8.1 이하 버전의 Traffic Graphs 상위 트래픽 기능에는 저장형 크로스 사이트 스크립팅 취약점이 존재합니다. 역방향 DNS 조회로 반환된 PTR 레코드가 검증 없이 AJAX 응답에 포함되어 관리자 인터페이스의 DOM 싱크를 통해 HTML로 렌더링됩니다. PTR 레코드를 제어하는 공격자가 상위 트래픽 목록에 나타날 만큼 트래픽을 발생시키면 관리자 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
💡 쉬운 설명
방화벽 관리자 화면에 표시되는 네트워크 접속 기록의 이름 정보에 악성 코드를 심어 둘 수 있는 문제입니다. 관리자가 이 화면을 열면 악성 코드가 실행되어 관리자 권한을 탈취당할 수 있습니다.
🇺🇸 원문 (English)
pfSense Plus before 26.07 and pfSense CE through 2.8.1 contain a stored cross-site scripting vulnerability in the Traffic Graphs top-talkers feature, where PTR records returned by reverse DNS lookups are incorporated without sanitization into AJAX responses and rendered as HTML through a DOM sink in the administrator interface. An attacker who controls a PTR record and generates sufficient traffic to appear as a top talker can execute arbitrary JavaScript in an administrator's browser, gaining access to the authenticated session context and same-origin access to the firewall management interface, enabling account creation and arbitrary OS command execution.
📍 영향받는 시스템
pfSense Plus 26.07 이전 버전, pfSense CE 2.8.1 이하 버전
⚔️ 공격 벡터
공격자가 PTR 레코드를 조작하고 대량 트래픽을 발생시켜 관리자 화면의 상위 트래픽 목록에 노출된 뒤, 관리자가 해당 화면을 열 때 임의 스크립트를 실행
🛡️ 대응 방법
pfSense Plus 26.07 이상 또는 pfSense CE 최신 패치 버전으로 업데이트하고, 관리자 인터페이스 접근을 신뢰된 IP로 제한
🔧 검증 코드
출력된 버전이 pfSense Plus 26.07 미만 또는 CE 2.8.1 이하이면 취약하며, 그 이상이면 패치가 적용된 것입니다.
pfSense 셸에서 cat /etc/version 2>/dev/null || grep -i version /etc/version.* 2>/dev/null