OPNsense Authenticated Root Command Injection via Firmware Mirror Config (CVE-2024-38436)

漏洞总结：OPNsense 固件镜像配置中的认证根命令注入漏洞 漏洞概述 漏洞名称：Authenticated Root Command Injection via Firmware Mirror Configuration in OPNsense 漏洞编号：CVE-2024-38436 严重性：高（CVSS v3.1 评分 9.8） 漏洞类型：命令注入（需认证） 影响组件：OPNsense 固件更新功能中的“固件镜像”配置字段 漏洞描述： 攻击者可通过在“固件镜像”配置字段中注入恶意命令，以 root 权限执行任意系统命令。该漏洞存在于 OPNsense 23.7.x 至 24.1.x 版本中，影响所有使用固件更新功能的系统。 影响范围 受影响版本：OPNsense 23.7.x ~ 24.1.x 受影响平台：所有运行 OPNsense 的设备（x86、ARM 等） 攻击条件： - 攻击者需拥有管理员权限（可登录 Web UI） - 可访问“系统 > 固件更新”页面 - 可修改“固件镜像”配置字段 修复方案 官方修复版本：OPNsense 24.1.1 及更高版本 修复内容： - 对“固件镜像”输入字段进行严格过滤和转义 - 禁止在配置中执行任意命令 - 增加输入验证机制防止命令注入 临时缓解措施： - 禁用“固件镜像”自定义配置 - 使用官方默认镜像源 - 限制管理员账户权限 POC / 利用代码 > ⚠️ 注意：实际利用需通过 OPNsense Web UI 提交表单，上述为简化示意。真实攻击需绕过 CSRF 保护并构造完整 HTTP 请求。 其他关键信息 披露日期：2024 年 10 月 报告者：OPNsense 安全团队 相关 CVE：无其他关联 CVE 建议操作： - 立即升级至 24.1.1+ - 审计现有系统是否被利用 - 监控异常进程或网络连接

Goal Reached Thanks to every supporter — we hit 100%!

OPNsense Authenticated Root Command Injection via Firmware Mirror Config (CVE-2024-38436)

More from this source