CVE-2024-46538: XSS Schwachstelle in pfSense Firewall

Ende Oktober 2024 ist eine neue Schwachstelle in der beliebten Open-Source-Firewall pfSense bekannt geworden. Diese Cross-Site Scripting (XSS)-Lücke CVE-2024-46538 betrifft pfSense in der Version 2.5.2 und ermöglicht es Angreifern, bösartigen Webcode oder HTML über speziell präparierte Nutzdaten in die $pconfig-Variable der Datei interfaces_groups_edit.php einzuschleusen.

Obwohl das National Institute of Standards and Technology (NIST) der Lücke eine mittlere Schwere mit einem CVSS 3.1 Score von 4.8 zuweist, stuft die Cybersecurity and Infrastructure Security Agency (CISA) die Schwachstelle als kritisch ein und vergibt einen Wert von 9.3. Besonders problematisch ist, dass die Lücke eine Remote-Ausnutzung bei minimalem Aufwand ermöglicht, da keine hohen Rechte erforderlich sind, um das System zu kompromittieren. Die Auswirkungen betreffen vor allem die Vertraulichkeit und Integrität, während die Verfügbarkeit nicht direkt gefährdet ist.

Das Sicherheitsproblem liegt in der unzureichenden Validierung von Nutzereingaben in der Weboberfläche von pfSense, was die Basis für das XSS-Problem bildet. Durch das erfolgreiche Ausnutzen der Lücke können Angreifer schädliche Skripte auf anfälligen pfSense-Installationen ausführen, die dann im Browser des Opfers laufen.

Nutzer von pfSense Version 2.5.2 sollten dringend auf Sicherheits-Updates achten oder alternative Sicherheitsmaßnahmen ergreifen, bis ein offizieller Patch bereitgestellt wird. Weitere Details und ein Proof of Concept (PoC) für die Schwachstelle sind auf GitHub sowie der pfSense-Redmine-Seite zu finden.