Actualizar a 2.3 es inexorable y URGENTE
-
He hecho un scan solo del 2.2.6-RELEASE de pfsense y aun hay 259 en esa versión, y actualmente, esa versión y las anteriores son vulnerables (ver [1]).
Hay unas pocas en Chile, España y México, sin embargo, en USA y Brasil hay muchísimos, actualicen pronto.
[1] https://t.co/J2wyzl75cf
-
Hola.
Caramba, ese link https://t.co/J2wyzl75cf me lo deniega el squidGuard :)
Salu2
-
Pues, deberías configurarlo mejor ;) porque sino la gente de iSec te va a matar :D y no podrá hacer su trabajo :D
Allí [1] lo tienes sin shorten :D si no confías en seclists.org pues… usa google a ver si consigues otra página con la información que para tí y tu squidguard sean confiables :D
[1] http://seclists.org/fulldisclosure/2016/Apr/57?utm_source=feedburner&utm_medium=twitter&utm_campaign=Feed%3A+seclists%2FFullDisclosure+%28Full+Disclosure%29
-
Hola.
http://seclists.org esta incluida en la BlackList de http://www.shallalist.de/Downloads/shallalist.tar.gz en la common acl [blk_BL_hacking] , mejor seria que intentaran los chic@s de seclist que les sacaran de esa lista (pero me da que no lo conseguirian, muchos admin de redes no les gusta que los usuarios prueben exploits en sus routers/servidores).
Respecto al bug que es vulnerable a exploit:
…
remote code execution via command injection
as an authenticated non-administrative user
...Solo se verian afectados aquellos pfSense con versión menor o igual a 2.2.6 y que:
Dispusieran de un/os usuario/s no pertenecientes al grupo administradores y que el que explote el bug se autenticara mediante ese/os usuario/s
No es el escenario más común crear usuarios no administrativos. Salvo para usuarios de VPNs (openVPN) en pfSense, que sí es un escenario muy común. (No me queda claro, si valdría un usuario local de un captive portal, si así fuera, el bug es una bomba para miles de hoteles/establecimientos con captive portal con pfSense 2.2.6 y menor)
Pero está claro que si se dispone de usuario:clave de un grupo no administrativo, vía ese bug se puede hacer uno con el control del pfSense 2.2.6 o anterior, vía inyección de código.
Gracias por el aviso.
Salu2