Уязвимости в пакетите с Kea DHCP и cyrus-imapd, позволяващи повишаване на привилегиите в системата.

В различните конфигурации на DHCP-сервера Kea, разработван от консорциума ISC като заместител на класическия ISC DHCP, са открити уязвимости, които в определени ситуации позволяват на локален потребител да изпълни код с права на root или да презапише произволен файл в системата:

• CVE-2025-32801 — позволява на локален потребител да получи root-привилегии в системи, в които Kea работи под потребителя root, или да придобие пълен контрол над сървъра Kea в системи, които стартират Kea под потребител с ограничени привилегии. Атаката се извършва чрез достъп до REST API, предоставяно от услугата kea-ctrl-agent, което по подразбиране приема заявки от localhost:8000. В повечето конфигурации REST API е достъпен за всички локални потребители на системата без необходимост от автентикация.

  Експлоатацията се осъществява чрез изпращане на команда set-config, позволяваща управление на настройките на всички услуги на Kea. Сред другото, командата може да се използва за промяна на параметъра "hooks-libraries", който влияе на зареждането на допълнителни библиотеки-обработчици. Атакуващият може да постигне изпълнението на своя код в контекста на услугите на Kea чрез подмяна на своята библиотека, функция с атрибута "constructor", която ще бъде извикана при отварянето на библиотеката с функцията dlopen(). curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-set", "arguments": { "Control-agent": {"hooks-libraries": [{"library": "/home/someuser/libexploit.so"}] }}}' \ localhost:8000

• CVE-2025-32802 — уязвимостта позволява използването на командата config-write в REST API за презапис на произволен файл в системата, в зависимост от правата на потребителя, под който работи Kea. Атакуващият може да контролира записката на съдържанието, но данните се записват в JSON формат и трябва да съдържат коректни настройки на Kea. Въпреки това, не е изключено, че това може да е достатъчно за стартиране на команди с права на root чрез манипулиране с файлове в директорията /etc/profile.d. curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-write", "arguments": { "filename": "/etc/evil.conf" } }' \ localhost:8000

  Отделно се споменава няколко сценария за употреба на командата config-write за промяна на настройките на Kea. Например, може да се пренасочат лог файловете на произволно място в файлова система, да се организира спуфинг на управляващите UNIX-сокети на услугите или да се блокира работата на Kea.
• CVE-2025-32803 — логовете (\/var\/log\/kea*.log), както и файловете \/var\/lib\/kea\/*.cvs, съдържащи информация за свързването IP адреса (DHCP наем) и свързаните данни са достъпни за всички за четене.

Стартирането на Kea с права root се практикува в дистрибуции Arch Linux, Gentoo, openSUSE Tumbleweed (преди 23 май), FreeBSD, NetBSD (pkgsrc) и OpenBSD. В Debian, Ubuntu и Fedora услугата се стартира под отделен непривилегирован потребител. В Gentoo пакетът с Kea е наличен само в нестабилния хранилище за архитектура amd64. В Ubuntu, за разлика от другите системи, услугата kea-ctrl-agent се е стартирала само при указване в настройките на достъпа до REST API с парола. Може да се проследи публикуването на актуализации на пакетите в дистрибуциите на страниците: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, ALT Linux, Arch, FreeBSD, OpenBSD и NetBSD.

Допълнително може да се отбележи уязвимост (CVE-2025-23394), която се проявява в пакета с IMAP-сървъра Cyrus, предоставен от проекта openSUSE в хранилищата Tumbleweed и Factory. Уязвимостта позволява на локален потребител да повиши привилегиите си от потребител cyrus до root. Уязвимостта е оценена с критичен ниво на опасност (9.8 от 10), но оценката е необосновано завишена, тъй като за атака е необходимо да се разполагат права cyrus, които могат да се получат чрез експлоатация на друга уязвимост в cyrus-imapd.

Проблемът е причинен от грешка при работа със символични линкове в скрипта daily-backup.sh, специфичен за дистрибуциите SUSE\/openSUSE. Същността на уязвимостта е, че скриптът daily-backup.sh се стартира с права root, но записва в директорията \/var\/lib\/imap, в която може да създава файлове непривилегирован потребител cyrus. Атаката се свежда до създаване на символичен линк, насочващ към системен файл (например, може да се създаде символичен линк \/var\/lib\/imap\/mailboxes.txt, насочващ към \/etc\/shadow). Уязвимостта е отстранена в версията на пакета cyrus-imapd 3.8.4-2.1.

Източник: opennet.ru