CVE-2026-113779

pfSense REST API paketi, pfSense CE ve pfSense Plus güvenlik duvarları için resmi olmayan, açık kaynaklı bir REST ve GraphQL API'dir. pfSense-pkg-RESTAPI sürüm 2.9.0 öncesinde bulunan bir yetki yükseltme zafiyeti, özel ayarlar senkronizasyon iznine sahip kimliği doğrulanmış hesapların REST API yapılandırma sırlarını değiştirmesine olanak tanır. Bu durum, yönetici olmayan bir kullanıcının yetkilerini tam yönetici seviyesine yükseltmesini sağlar. pfSense-pkg-RESTAPI 2.9.0 bu sorunu gidermektedir. HA ayarları senkronizasyon uç noktasına erişim artık kesin olarak tam yönetici yetkileri (`page-all`) gerektirmektedir. Alt yönetici senkronizasyon yetkisi v2.9.0 ve sonraki sürümlerde kaldırılmıştır. Erişim kontrol sınırının düzeltilmesine ek olarak, sürüm 2.9.0 şu sıkılaştırma önlemlerini içerir: isteğe bağlı varsayılanlar ile biçimlendirme ve doğrulama modernizasyonu. Geçici bir çözüm olarak, aşağıdaki adımlardan biri veya tamamı uygulanarak risk azaltılabilir. Kapsamlı İzinleri Geri Çekme: Tüm yönetici olmayan kullanıcılardan `api-v2-system-restapi-settings-sync-post` yetkisini kaldırın. ACL'leri Uygulama: API uç noktalarına erişimi yalnızca güvenilir yönetici ve HA eş IP adresleriyle sınırlandırmak için REST API Erişim Kontrol Listelerini (ACL'ler) ve/veya güvenlik duvarı kurallarını yapılandırın.