Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 15 OCT · 13:17

CVE-2026-58390 XSS almacenado con posible ejecución remota de código como root en OPNsense vía common_name de OpenVPN

Antes de 26.1.11, el widget de estado de conexiones OpenVPN en src/opnsense/www/js/widgets/OpenVPNClients.js y la vista de estado insertan el common_name del cliente en atributos data-common-name sin codificación segura de comillas. La explotación requiere un servidor OpenVPN con username-as-common-name y autenticación RADIUS o LDAP, y poder aprovisionar o autorregistrar un usuario válido que contenga una comilla doble; un cliente autenticado con ese nombre puede cerrar el atributo y agregar un manejador de…

8.0ALTA

CVSS 3.1

  • Probabilidad de explotación0,5 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • opnsense core

    < 26.1.11

Qué hacer

  1. Verificá si usás core y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 8.0 ALTA

CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H

  • Vector de ataqueRed
  • Complejidad del ataqueAlta
  • Privilegios requeridosBajos
  • Interacción del usuarioRequerida
  • AlcanceCambiado
  • ConfidencialidadAlta
  • IntegridadAlta
  • DisponibilidadAlta

Descripción original

OPNsense is a FreeBSD based firewall and routing platform. Prior to version 26.1.11, the OpenVPN connection-status dashboard widget in src/opnsense/www/js/widgets/OpenVPNClients.js and the connection-status view place a client common_name into data-common-name attributes without quote-safe encoding. Exploitation requires an OpenVPN server configured with username-as-common-name and RADIUS or LDAP authentication, plus the ability to provision or self-register a valid backend username containing a double quote; deployments where the same administrator controls both the identity backend and firewall do not cross a separate trust boundary. An authenticated client using that username can close the attribute and add an event handler, while the local user database is not affected because its username validator rejects quotes. Script executes in an administrator's session when the administrator opens the dashboard or connection-status page and the injected event is triggered; the demonstrated payload used pointer movement over the client row rather than unconditional page-load execution. The advisory demonstrates that the script can read config.xml, invoke privileged APIs, reset the root password, and obtain root command execution. This issue is fixed in version 26.1.11.

Referencias (3)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.