V konfiguracích DHCP serveru Kea používaného různými distribucemi, který vyvíjí konsorcium ISC jako náhrada za klasický ISC DHCP, byly identifikovány zranitelnosti, které v některých situacích umožňují lokálnímu uživateli spouštět kód s root oprávněními nebo přepisovat libovolný soubor v systému:
- CVE-2025-32801 – Umožňuje lokálnímu uživateli získat root oprávnění na systémech s operačním systémem Kea jako root uživatel nebo získat plnou kontrolu nad serverem Kea na systémech s operačním systémem Kea jako uživatel s omezenými oprávněními. Útok se provádí voláním REST API poskytovaného službou kea-ctrl-agent, která ve výchozím nastavení přijímá požadavky přes localhost:8000. Ve většině konfigurací je REST API dostupné všem lokálním uživatelům systému bez nutnosti ověřování.
Operace se provádí odesláním příkazu set-config, který umožňuje spravovat nastavení všech služeb Kea. Příkaz lze mimo jiné použít ke změně parametru „hooks-libraries“, který ovlivňuje načítání dalších knihoven hooků. Útočník může dosáhnout spuštění svého kódu v kontextu služeb Kea nahrazením své knihovny funkcí s atributem „constructor“, která bude volána při otevření knihovny funkcí dlopen(). curl -X POST -H "Typ obsahu: aplikace/json" \ -d '{ "příkaz": "konfigurační sada", "argumenty": { "řídicí agent": { "knihovny hooků": [{ "knihovna": "/home/someuser/libexploit.so"}] }}}' \ localhost:8000
- CVE-2025-32802 - Zranitelnost umožňuje použití příkazu config-write v REST API k přepsání libovolného souboru v systému, pokud to umožňují oprávnění uživatele, pod kterým je Kea spuštěna. Útočník může ovládat zapisovaný obsah, ale data jsou zapisována ve formátu JSON a musí obsahovat správná nastavení Kea. Je však možné, že to bude stačit ke spouštění příkazů s root oprávněními manipulací se soubory v adresáři /etc/profile.d. curl -X POST -H "Typ obsahu: aplikace/json" \ -d '{ "příkaz": "config-write", "arguments": { "název_souboru": "/etc/evil.conf" } }' \ localhost:8000
Několik scénářů pro použití příkazu config-write ke změně nastavení Kea je zmíněno samostatně. Můžete například přesměrovat soubory protokolů na libovolné místo v souborovém systému, organizovat falšování řídicích UNIXových socketů služeb nebo blokovat provoz Kea.
- CVE-2025-32803 - protokoly (/var/log/kea*.log) a soubory /var/lib/kea/*.cvs obsahující informace o vazbách IP adresy (DHCP leasing) a související data jsou k dispozici všem ke čtení.
Spouštění uživatele Kea jako root je v distribucích Archu běžnou praxí. Linux, Gentoo, openSUSE Tumbleweed (do 23. května), FreeBSD, NetBSD (pkgsrc) a OpenBSD. Debian, Ubuntu a Fedora, služba byla spuštěna pod samostatným, neprivilegovaným uživatelem. V Gentoo je balíček Kea dostupný pouze v nestabilním repozitáři pro architekturu amd64. UbuntuNa rozdíl od jiných systémů se služba kea-ctrl-agent spouštěla pouze v případě, že byl v nastavení zadán přístup k REST API chráněný heslem. Vydávání aktualizací balíčků pro distribuce můžete sledovat na následujících stránkách: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, ALT Linux, Arch, FreeBSD, OpenBSD a NetBSD.
Dále stojí za zmínku zranitelnost (CVE-2025-23394), která se objevuje v balíčku serveru Cyrus IMAP dodávaném projektem openSUSE v repozitářích Tumbleweed a Factory. Tato zranitelnost umožňuje lokálnímu uživateli povýšit oprávnění z uživatele Cyrus na root. Zranitelnosti je přiřazena kritická úroveň závažnosti (9.8 z 10), ale ta je nepřiměřeně vysoká, protože útok vyžaduje oprávnění cyrus, která lze získat zneužitím jiné zranitelnosti v cyrus-imapd.
Problém je způsoben chybou při zpracování symbolických odkazů ve skriptu daily-backup.sh, který je specifický pro distribuce SUSE/openSUSE. Zranitelnost spočívá v tom, že skript daily-backup.sh je spuštěn s root oprávněními, ale zapisuje do adresáře /var/lib/imap, kde může soubory vytvářet i neprivilegovaný uživatel cyrus. Útok spočívá ve vytvoření symbolického odkazu směřujícího na systémový soubor (například můžete vytvořit symbolický odkaz /var/lib/imap/mailboxes.txt směřující na /etc/shadow). Tato zranitelnost byla opravena v balíčku cyrus-imapd verze 3.8.4-2.1.
Zdroj: opennet.ru
