Уязвимости в пакетите с Kea DHCP и cyrus-imapd, позволяващи повишаване на привилегиите в системата.

В конфигурациите на DHCP-сервера Kea, разработен от консорциума ISC за замяна на класическия ISC DHCP, се откриха уязвимости, които в определени ситуации позволяват на локален потребител да изпълни код с права на root или да презапише произволен файл в системата:

• CVE-2025-32801 — позволява на локален потребител да получи root-привилегии в системи, в които Kea работи под потребител root, или да получи пълен контрол над сървъра Kea в системи, стартиращи Kea под потребител с ограничени привилегии. Атаката се извършва чрез обращение към REST API, предоставено от услугата kea-ctrl-agent, което по подразбиране приема заявки чрез localhost:8000. В повечето конфигурации REST API е достъпен за всички локални потребители на системата без автентикация.

  Експлоатацията се извършва чрез изпращане на команда set-config, която позволява управление на настройките на всички услуги на Kea. Между другото, командата може да се използва за промяна на параметъра „hooks-libraries“, който влияе на зареждането на допълнителни обработващи библиотеки. Атакуващият може да постигне изпълнение на своя код в контекста на услугите на Kea чрез подмяна на собствена библиотека, функция с атрибут „constructor“, която ще бъде извикана при отваряне на библиотеката с функцията dlopen(). curl -X POST -H "Content-Type: application/json" \ -d ‘{ "command": "config-set", "arguments": { "Control-agent": {"hooks-libraries": [{"library": "/home/someuser/libexploit.so"}] }}}’ \ localhost:8000

• CVE-2025-32802 — уязвимостта позволява използването на командата config-write в REST API за презаписване на произволен файл в системата, доколкото правата на потребителя, под който работи Kea, позволяват. Атакуващият може да контролира записваното съдържание, но данните се записват във формат JSON и трябва да включват коректни настройки на Kea. Въпреки това не е изключено, че това може да е достатъчно за стартиране на команди с права на root чрез манипулация с файлове в директорията /etc/profile.d. curl -X POST -H "Content-Type: application/json" \ -d ‘{ "command": "config-write", "arguments": { "filename": "/etc/evil.conf" } }’ \ localhost:8000

  Отделно се споменават няколко сценария на използване на командата config-write за промяна на настройките на Kea. Например, можете да пренасочите лог файловете на произволно място в файловата система, да организирате спуфинг на управляващите UNIX-сокети на услугите или да блокирате работата на Kea.
• CVE-2025-32803 — логовете (\/var\/log\/kea*.log), както и файловете \/var\/lib\/kea\/*.cvs, съдържащи информация за обвързването IP адреси (DHCP lease) и съпътстващи данни, достъпни за четене от всички.

Стартирането на Kea с права root се практикува в дистрибуциите Arch Linux, Gentoo, openSUSE Tumbleweed (до 23 май), FreeBSD, NetBSD (pkgsrc) и OpenBSD. В Debian, Ubuntu и Fedora услугата се е стартирала под отделен неприлаган потребител. В Gentoo пакетът с Kea е наличен само в нестабилния репозиториум за архитектура amd64. В Ubuntu, за разлика от другите системи, услугата kea-ctrl-agent се е стартирала само при указване в настройките на достъп до REST API по парола. Можете да проследите публикуването на актуализации на пакетите в дистрибуциите на страниците: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, ALT Linux, Arch, FreeBSD, OpenBSD и NetBSD.

Допълнително може да се спомене уязвимост (CVE-2025-23394), проявяваща се в пакета с IMAP-сървър Cyrus, предоставян от проекта openSUSE в репозиториите Tumbleweed и Factory. Уязвимостта дава възможност на локален потребител да повиши привилегиите си от потребител cyrus до root. На уязвимостта е присвоен критичен ниво на опасност (9.8 от 10), но той е неоснователно завишен, тъй като за атака е нужно наличие на права cyrus, които могат да бъдат получени чрез експлоатация на друга уязвимост в cyrus-imapd.

Проблемът е причинен от грешка при работа със символични линкове в скрипта daily-backup.sh, специфичен за дистрибуциите SUSE\/openSUSE. Същността на уязвимостта е, че скриптът daily-backup.sh се стартира с права root, но извършва запис в каталога \/var\/lib\/imap, в който може да създава файлове неприлаганият потребител cyrus. Атаката се състои в създаване на символичен линк, указващ на системен файл (например, можете да създадете символичен линк \/var\/lib\/imap\/mailboxes.txt, указващ на \/etc\/shadow). Уязвимостта е отстранена в версията на пакета cyrus-imapd 3.8.4-2.1.

Източник: opennet.ru