Origine: bjCSIRT
Numéro: 2021/ALERTE/020
Date de l’alerte: 07/05/2021
APERÇU :
Une vulnérabilité d’injection de code a été identifiée dans PfSense. Libellée CVE-2021-27933, elle permettrait à une personne malveillante d’exécuter du code HTML ou du code Javascript.
DESCRIPTION :
Le logiciel PfSense est une distribution de pare-feu réseau gratuite, basée sur le système d’exploitation FreeBSD avec un noyau personnalisé et incluant des fonctionnalités supplémentaires.
La faille libellée CVE-2021-27933 affectant Pfsense est due à une mauvaise validation du paramètre « Description » pour les entrées « Wake on LAN » et à un non encodage de la sortie lors de l’utilisation de la fonction « Wake All Devices » affichant cette valeur.
Pour exploiter ce bogue, un attaquant aurait besoin d’injecter du code malicieux dans le paramètre « Description ». En l’absence de validation appropriée, le code malveillant pourrait être exécuté dans le navigateur de la victime, conduisant à une éventuelle attaque de XSS stockée (Cross-site Scripting Stored).
IMPACT :
- Corruption de comptes
- Exécution de code
SYSTEMES AFFECTÉS :
- PfSense: Version 2.5.0 et antérieures
- PfSense Plus: Version 21.02-p1 et antérieures
MESURES À PRENDRE :
Mettre à jour PfSense vers la version 2.5.1
REFERENCES :
- https://vuldb.com/fr/?id.174190
- https://seclists.org/fulldisclosure/2021/Apr/61
- https://portswigger.net/daily-swig/stored-xss-vulnerability-patched-in-open-source-firewall-pfsense
- https://app.debricked.com/en/vulnerability-database/vulnerability/CVE-2021-27933
