pfSense 2.4.x < 2.4.4-p1 多个漏洞 (SA-18_09)

严重性

主题

pfSense 2.4.x < 2.4.4-p1 多个漏洞 (SA-18_09)

high Nessus 插件 ID 146059

语言：

全新！插件严重性现在使用 CVSS v3

计算的插件严重性默认已更新为使用 CVSS v3。没有 CVSS v3 分数的插件将回退到 CVSS v2 来计算严重性。可以在设置下拉列表中切换严重性显示首选项。

简介

远程防火墙主机受到多个漏洞影响。

描述

根据其自我报告的版本号，远程 pfSense 的安装版本为低于 2.4.4-p1 的 2.4.x 版。因此，该应用程序受到多个漏洞的影响，其中包括：

- Netgate pfSense CE 2.4.4-RELEASE 处理特定 POST 请求之参数的方式中存在一个可遭利用的命令注入漏洞。攻击者可利用此漏洞在系统上执行任意命令。攻击者需要能够将认证后的 POST 请求发送至管理 Web 界面。可以在“ powerd_normal_mode”参数中注入命令。(CVE-2018-4019)

- Netgate pfSense CE 2.4.4-RELEASE 处理特定 POST 请求之参数的方式中存在一个可遭利用的命令注入漏洞。攻击者可利用此漏洞在系统上执行任意命令。攻击者需要能够将认证后的 POST 请求发送至管理 Web 界面。可以在“ powerd_ac_mode”POST 参数中注入命令。(CVE-2018-4020)

- Netgate pfSense CE 2.4.4-RELEASE 处理特定 POST 请求之参数的方式中存在一个可遭利用的命令注入漏洞。攻击者可利用此漏洞在系统上执行任意命令。攻击者需要能够将认证后的 POST 请求发送至管理 Web 界面。可以在“ powerd_battery_mode”POST 参数中注入命令。(CVE-2018-4021)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。