pfSense vulnérable à une exécution de code à distance : ce que doivent vérifier les administrateurs

Faits, analyse et incertitudes

L'essentiel de l'avis

Ce qui se passe réellement dans xmlrpc.php

XML-RPC est un protocole d'appel de procédure à distance : un client envoie une requête HTTP contenant le nom d'une méthode et ses paramètres, le serveur exécute cette méthode et renvoie un résultat. Sur pfSense, cette interface sert notamment à la synchronisation de configuration entre deux appliances en haute disponibilité. Elle est donc fonctionnellement légitime, et exposée sur le WebGUI.

Avant d'exécuter une méthode, le point d'entrée doit vérifier que l'appelant a le droit de la demander. Netgate décrit précisément cette étape : pour établir les privilèges, xmlrpc.php récupère les informations du compte via getUserEntry($username). Ce mécanisme repose sur l'existence d'une entrée décrivant l'utilisateur.

Lorsque l'authentification est déportée sur un annuaire, un utilisateur peut présenter des identifiants parfaitement valides sans qu'aucune entrée locale ne le décrive. L'éditeur indique qu'une erreur de logique conduit alors à contourner la vérification de privilèges plutôt qu'à la refuser. L'appelant obtient l'accès aux méthodes XML-RPC, parmi lesquelles exec_php, c'est-à-dire l'exécution de code PHP et de commandes système.

Pourquoi la compromission d'un pare-feu est un cas particulier

Un pare-feu périmétrique n'est pas seulement un filtre. Dans une infrastructure de taille moyenne, une appliance pfSense cumule souvent plusieurs rôles qui, pris ensemble, en font le point le plus sensible du réseau.

• Terminaison VPN : elle détient les clés, les certificats et parfois les secrets partagés qui permettent aux accès distants de se raccorder
• Autorité de certification interne : pfSense peut générer et signer les certificats des clients VPN et des services internes
• Routage et NAT : elle décide de ce qui traverse, et peut donc décider de ce qui traverse autrement
• Segmentation : les règles de filtrage entre VLAN sont l'essentiel de la séparation logique entre environnements
• Résolution DNS et parfois DHCP : deux leviers de redirection silencieuse du trafic interne
• Journalisation : elle produit les traces qui permettraient de constater l'intrusion

La conséquence est simple à formuler. Un attaquant qui exécute du code sur un serveur applicatif obtient ce que ce serveur contient. Un attaquant qui exécute du code sur le pare-feu obtient la capacité de modifier les conditions d'accès de tout le reste, et de le faire sans déclencher les contrôles qui reposent justement sur cet équipement.

• La segmentation devient déclarative

  Les règles de filtrage restent affichées dans l'interface, mais plus rien ne garantit qu'elles correspondent à ce qui est appliqué. Une segmentation n'a de valeur que si l'équipement qui l'applique est digne de confiance.

• Les accès distants deviennent réutilisables

  Les éléments cryptographiques du VPN sont sur la machine. Une fois qu'ils sont sortis, le renouvellement des mots de passe des utilisateurs ne change rien : ce n'est pas par là que l'accès se rejouera.

• Les journaux deviennent des déclarations

  Si les traces sont produites et conservées localement, elles sont modifiables par celui qui contrôle la machine. Une journalisation centralisée hors de l'équipement n'est pas un raffinement, c'est ce qui rend l'investigation possible.

Mesures immédiates

1. Établir la version réellement installée

   Sur chaque appliance, et non d'après l'inventaire. Les infrastructures comportent souvent une appliance oubliée : site secondaire, maquette laissée en production, secours de haute disponibilité non mis à jour.

2. Déterminer si l'authentification est déportée

   C'est la condition d'exploitation. Une installation qui n'utilise que des comptes locaux n'est pas dans le périmètre décrit par l'éditeur ; une installation raccordée à un annuaire l'est, et devient prioritaire.

3. Appliquer le correctif de l'éditeur

   Netgate indique des correctifs pour les versions 26.10, 26.03.1, 2.9.0 et 2.8.1. Le bulletin de l'éditeur est la seule référence à jour sur la disponibilité par branche.

4. Si le correctif ne peut pas être appliqué immédiatement, appliquer un contournement

   Les deux contournements publiés par Netgate sont de créer un compte local correspondant à chaque utilisateur de l'annuaire, ou de désactiver l'authentification distante. Ce sont des mesures d'attente, pas des solutions.

5. Vérifier l'exposition du WebGUI

   Une interface d'administration accessible depuis Internet transforme une condition d'exploitation interne en surface externe. C'est vrai pour cette vulnérabilité comme pour toutes celles qui suivront.

Mesures de fond

Cette vulnérabilité sera corrigée, et une autre sera publiée. La question utile n'est donc pas seulement de savoir comment traiter celle-ci, mais de savoir combien coûterait la prochaine. Trois décisions d'architecture changent l'ordre de grandeur de ce coût.

Retirer les interfaces d'administration de la surface exposée

Le WebGUI d'un pare-feu n'a pas à être joignable depuis Internet. L'ANSSI recommande de longue date de séparer les flux d'administration des flux de production et de passer par un réseau ou un canal dédié. Appliquée à une appliance de sécurité, cette recommandation a un effet immédiat : la plupart des vulnérabilités du WebGUI deviennent non exploitables depuis l'extérieur, quel que soit leur score.

Traiter les comptes d'administration comme des actifs distincts

L'incident décrit ici naît d'une divergence entre l'identité telle que la connaît l'annuaire et l'identité telle que la connaît l'appliance. Lorsque l'authentification est déportée, il reste nécessaire de savoir précisément qui dispose de droits d'administration sur l'équipement, à partir de quels groupes, et avec quelle procédure de retrait lors d'un départ.

Sortir les journaux de la machine qu'ils décrivent

Une journalisation centralisée en temps réel vers un collecteur distinct est ce qui permet, après coup, de répondre à la seule question qui compte : est-ce que quelqu'un s'est authentifié sur cette interface, et depuis où. Sans elle, l'investigation se résume à constater que l'appliance ne montre rien d'anormal, ce qui n'est pas une réponse.