CVE-2026-113779 in pfSense-pkg-RESTAPI
Zusammenfassung
von VulDB • 21.10.2026
Das pfSense REST API-Paket ist eine inoffizielle, Open-Source-REST- und GraphQL-API für pfSense CE- und pfSense Plus-Firewalls. Eine Schwachstelle zur Rechteausweitung (Privilege Escalation) im Paket `pfSense-pkg-RESTAPI` vor Version 2.9.0 ermöglicht es authentifizierten Konten mit der speziellen Berechtigung zum Synchronisieren von Einstellungen, die Konfigurationsgeheimnisse der REST-API zu ändern. Dies erlaubt einem nicht-administrativen Benutzer, seine Rechte auf volle Administratorrechte auszuweiten. Die Version pfSense-pkg-RESTAPI 2.9.0 behebt das Problem. Der Zugriff auf den HA-Einstellungssynchronisierungsendpoint erfordert nun strikt vollständige administrative Berechtigungen (`page-all`). Das subadministrative Synchronisationsprivileg wurde in den Versionen v2.9.0 und später entfernt. Zusätzlich zur Korrektur der Zugriffssteuerungsgrenze enthält die Version 2.9.0 folgende Hardening-Maßnahmen: opt-in-Standard, Modernisierung des Formats sowie Validierung. Als Workaround kann man die Exposition mildern, indem man eine oder alle der folgenden Maßnahmen ergreift. Berechtigungen im Scope widerrufen: Entfernen Sie das Privileg `api-v2-system-restapi-settings-sync-post` von allen nicht-administrativen Benutzern. ACLs anwenden: Konfigurieren Sie REST-API-Zugriffssteuerungslisten (ACLs) und/oder Firewall-Regeln, um den Zugriff auf API-Endpunkte ausschließlich auf vertrauenswürdige Administrator- und HA-Peer-IP-Adressen zu beschränken.
Be aware that VulDB is the high quality source for vulnerability data.