CVE-2025-50989

OPNsense – command injection w edycji interfejsu Bridge (RCE jako root)

CVSS 9.1v3.1pub. 2025-08-27upd. 2025-09-26

OPNsense przed wersją 25.1.8 zawiera podatność na uwierzytelniony command injection w endpoincie edycji Bridge Interface. Umożliwia ona administratorowi z dostępem do panelu wykonanie dowolnych poleceń systemowych z uprawnieniami usługi webowej (zazwyczaj root).

▸ Pokaż oryginał (EN)

OPNsense before 25.1.8 contains an authenticated command injection vulnerability in its Bridge Interface Edit endpoint (interfaces_bridge_edit.php). The span POST parameter is concatenated into a system-level command without proper sanitization or escaping, allowing an administrator to inject arbitrary shell operators and payloads. Successful exploitation results in remote code execution with the privileges of the web service (typically root), potentially leading to full system compromise or lateral movement. This vulnerability arises from inadequate input validation and improper handling of user-supplied data in backend command invocations.

🤖 Analiza AI

Jak działa

Parametr POST o nazwie 'span' w pliku interfaces_bridge_edit.php jest bezpośrednio konkatenowany do polecenia systemowego bez żadnej sanityzacji ani eskejpowania. Atakujący może wstrzyknąć do wartości tego parametru dowolne operatory powłoki oraz payload, które zostaną wykonane na poziomie systemu operacyjnego. Podatność wynika z braku walidacji danych wejściowych dostarczanych przez użytkownika przed ich przekazaniem do wywołań komend backendowych.

Skutki

Udana eksploatacja pozwala na zdalne wykonanie kodu (RCE) z uprawnieniami root, co może prowadzić do pełnego przejęcia kontroli nad systemem lub lateral movement w sieci.

Mitygacja

Należy zaktualizować OPNsense do wersji 25.1.8 lub nowszej, w której poprawka została uwzględniona zgodnie z oficjalnym changelogiem producenta.

Kogo dotyczy

OPNsense w wersjach przed 25.1.8

Uwagi

Podatność wymaga uwierzytelnienia jako administrator, co ogranicza powierzchnię ataku. Niemniej wektor sieciowy (AV:N) i brak wymogu interakcji użytkownika (UI:N) przy jednoczesnym zasięgu przekraczającym komponent (S:C) uzasadniają ocenę CVSS 9.1. Publiczny proof-of-concept jest dostępny w referencjach GitHub.