CVE-2025-69691

Netgate pfSense CE 2.8.0 — RCE przez XMLRPC API (pfsense.exec_php)

CVSS 9.9v3.1pub. 2026-05-08upd. 2026-05-12

Podatność w Netgate pfSense CE 2.8.0 umożliwia wykonanie dowolnego kodu PHP za pośrednictwem wywołania pfsense.exec_php w interfejsie XMLRPC API. Producent kwestionuje klasyfikację jako podatność, wskazując że dostęp do tego API jest celowo ograniczony wyłącznie do administratorów.

▸ Pokaż oryginał (EN)

Netgate pfSense CE 2.8.0 allows code execution in the XMLRPC API via pfsense.exec_php. NOTE: the Supplier disputes this because the API call is only available to admins and they are intentionally allowed to execute PHP code.

🤖 Analiza AI

Jak działa

Interfejs XMLRPC API w pfSense CE 2.8.0 udostępnia metodę pfsense.exec_php, która pozwala na wykonanie dowolnego kodu PHP na serwerze. Atakujący uwierzytelniony jako administrator może przekazać payload PHP przez to wywołanie API i uzyskać wykonanie kodu w kontekście systemu. Producent argumentuje, że jest to zamierzone zachowanie — administratorzy mają celowo przyznaną możliwość wykonywania kodu PHP.

Skutki

Uwierzytelniony administrator może uzyskać pełne wykonanie kodu na serwerze (RCE) z potencjalnym przejęciem kontroli nad systemem, jego konfiguracją i danymi sieciowymi. Ze względu na zakres (C:H/I:H/A:H, S:C) skutki mogą wykraczać poza sam system pfSense.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Ze względu na spór producenta co do charakteru podatności, zaleca się ograniczenie dostępu do interfejsu XMLRPC wyłącznie do zaufanych adresów IP, stosowanie silnych, unikalnych haseł do kont administracyjnych oraz minimalizację liczby kont z uprawnieniami administratora.

Kogo dotyczy

Netgate pfSense CE 2.8.0

Uwagi

Producent (Netgate) formalnie kwestionuje klasyfikację tego zachowania jako podatności, argumentując że wykonywanie kodu PHP przez pfsense.exec_php jest funkcją celowo dostępną dla administratorów. Zgłoszenie opublikowane na liście Full Disclosure w lutym 2026 r.