pfsense version 2.3.2-RELEASE vulnerable

Curesec Research Team บริษัทวิจัยด้านความปลอดภัย ได้มีการประกาศการค้นพบช่องโหว่จำนวน 3 ช่องโหว่บน pfsense เวอร์ชัน 2.3.2 โดยมีช่องโหว่ความร้ายแรงสูง
สำหรับช่องโหว่แรกเป็นช่องโหว่ CSRF ส่งผลให้ผู้โจมตีสามารถสร้างหรือลบการตั้งค่าของไฟร์วอลล์ได้ผ่านทางการส่งรีเควสต์ CSRF ไปที่หน้า easyrule.php
ช่องโหว่ที่สองเป็นช่องโหว่ XSS ที่ไฟล์ pkg_mgr_install.phpและ pkg.php
สุดท้ายเป็นช่องโหว่ code execution จากการข้ามผ่านกระบวนการ sanitation ที่ส่งผลให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายได้
ช่องโหว่นี้ได้รับการแก้ไขแล้วในเวอร์ชัน 2.3.3 แนะนำให้ทำการอัพเดตเพื่อหลีกเลี่ยงการโจมตีที่อาจเกิดขึ้น

ระบบที่ได้รับผลกระทบ: pfsense version <= 2.3.2
วิธีการแก้ไข: Update ให้เป็น version > 2.3.3 และหากเป็นไปได้แนะนำให้ update เป็น version ล่าสุด

ที่มา : Curesec