Ve volnébsdovém procesu rtsold a utilitě rtsol byla zjištěna zranitelnost (CVE-2025-14558), která umožňuje vzdálené spuštění kódu s právy root prostřednictvím odeslání speciálně upraveného paketu s oznámením IPv6-routeru. RA zprávy (Router Advertisement), které zranitelnost využívají, nejsou směrovány a měly by být routery odmítány. K provedení útoku musí útočník mít možnost odesílat speciálně upravený paket ze systému, který se nachází ve stejném síťovém segmentu jako zranitelný hostitel.
Pozadí procesu rtsold se používá na hostitelích pro automatické nastavení připojení přes IPv6 pomocí mechanismu SLAAC (StateLess Address AutoConfiguration). Hostitel odesílá ICMPv6 zprávu RS (Router Solicitation) v multicast režimu a čeká na příchozí RA zprávy (Router Advertisement) od routerů, které obsahují informace o síťových prefixech a konfiguračních parametrech. Nástroj rtsol implementuje podobnou funkčnost bez spuštění pozadí procesu.
Zranitelnost je způsobena tím, že rtsold předává v RA zprávě specifikovaný seznam "domain search" do utility resolvconf bez kontroly správnosti a bez escapeování speciálních znaků. Utility resolvconf je shellový skript, který nekontroluje vstupní data. K zneužití zranitelnosti stačí odeslat RA paket s názvem domény, který obsahuje speciální znaky, například "test`id`test." Zranitelnost byla opravena v aktualizacích FreeBSD 15.0-RELEASE-p1, 14.3-RELEASE-p7, 13.5-RELEASE-p8.
Dále byly v aktualizacích FreeBSD 14.3-RELEASE-p7 a 13.5-RELEASE-p8 (větev 15.x problém neovlivňuje) odstraněny zranitelnosti (CVE-2025-14769) v paketovém filtru ipfw, které mohou způsobit odepření služby prostřednictvím odeslání speciálně upravených paketů. Zranitelnost se projevuje pouze při použití direktivy "tcp-setmss" v pravidlech ipfw. Problém je způsoben tím, že handler tcp-setmss za určitých okolností může uvolnit paměť, ve které jsou uchovávány příchozí údaje paketu, a vrátit chybu. Tato chyba byla zpracováním pravidel ignorována, což vedlo k tomu, že následující pravidlo mohlo povolit průchod paketu, jehož data byla již uvolněna, což vede k dereferencování nulového ukazatele.
Zdroj: opennet.ru
