В процеса rtsold и утилитата rtsol, използвани в FreeBSD, е открита уязвимост (CVE-2025-14558), позволяваща отдалено изпълнение на код с права root чрез изпращане на специално оформен пакет с анонс на IPv6-маршрутизатор. RA-съобщенията (Router Advertisement), чрез които се експлоатира уязвимостта, не се маршрутизират и трябва да бъдат отхвърляни от маршрутизаторите. За да извърши атаката, нападателят трябва да има възможност да изпраща специално оформен пакет от система, която се намира в един и същ мрежов сегмент с уязвимия хост.
Фоновият процес rtsold се използва на хостовете за автонастройка на свързването през IPv6, използвайки механизма SLAAC (StateLess Address AutoConfiguration). Хостът изпраща ICMPv6 съобщение RS (Router Solicitation) в multicast режим и очаква да получи отговорни RA-съобщения (Router Advertisement) от маршрутизаторите, съдържащи информация за мрежовите префикси и параметри за конфигурация. Утилитата rtsol реализира подобна функционалност без стартиране на фонов процес.
Уязвимостта е причинена от факта, че rtsold предава посочения в RA съобщението списък «domain search» на утилитата resolvconf без проверка на коректността и без екраниране на специални символи. Утилитата resolvconf е shell скрипт, който не проверява входящите данни. За експлоатация на уязвимостта е достатъчно да се изпрати RA пакет с име домейн, съдържащо специални символи, например «test`id`test». Уязвимостта е отстранена в обновленията на FreeBSD 15.0-RELEASE-p1, 14.3-RELEASE-p7 и 13.5-RELEASE-p8.
Освен това, в обновленията на FreeBSD 14.3-RELEASE-p7 и 13.5-RELEASE-p8 (проблемът не засяга клон 15.x) е отстранена уязвимост (CVE-2025-14769) в пакетния филтър ipfw, позволяваща да се предизвика отказ на обслужване чрез изпращане на специално оформени пакети. Уязвимостта се проявява само при използване на директивата «tcp-setmss» в правилата на ipfw. Проблемът е резултат от факта, че обработващият tcp-setmss при определени обстоятелства може да освободи паметта, в която се съхраняват получените данни за пакета, и да върне грешка. Изказаната грешка се игнорираше от механизма за обработка на правилата, поради което следващото правило можеше да разреши преминаването на пакет, данните от който вече са освободени, което води до разименуване на нулев указател.
Източник: opennet.ru
