I FreeBSD anvendt i baggrundsprocessen rtsold og værktøjet rtsol er der opdaget en sårbarhed (CVE-2025-14558), der muliggør fjernudførelse af kode med root-rettigheder ved at sende et specielt formateret pakke med et IPv6-routerannonce. RA-beskeder (Router Advertisement), som udnytter sårbarheden, bliver ikke routet og skal kasseres af routere. For at kunne udføre et angreb skal en angriber have mulighed for at sende et specielt formateret pakke fra et system, der er i samme netværkssegment som den sårbare vært.
Baggrundsprocessen rtsold anvendes på værter til automatisk at konfigurere forbindelsen via IPv6 ved hjælp af SLAAC (StateLess Address AutoConfiguration) mekanismen. Værten sender en ICMPv6-besked RS (Router Solicitation) i multicast-tilstand og venter på at modtage svarende RA-beskeder (Router Advertisement) fra routere, som indeholder oplysninger om netværksprefixer og konfigurationsparametre. Værktøjet rtsol implementerer en lignende funktionalitet uden at køre en baggrundsproces.
Sårbarheden skyldes, at rtsold sender den angivne liste "domain search" fra RA-beskeden til værktøjet resolvconf uden at kontrollere korrektheden og uden at escappe specielle tegn. Værktøjet resolvconf er et shell-script, der ikke kontrollerer inddata. For at udnytte sårbarheden er det tilstrækkeligt at sende en RA-pakke med et navn domænet, der indeholder specielle tegn, som f.eks. "test`id`test." Sårbarheden er blevet rettet i opdateringerne FreeBSD 15.0-RELEASE-p1, 14.3-RELEASE-p7, 13.5-RELEASE-p8.
Derudover er sårbarheden (CVE-2025-14769) i pakkeaf filtren ipfw, som muliggør afvisning af tjenesten ved at sende specielt formaterede pakker, blevet rettet i opdateringerne FreeBSD 14.3-RELEASE-p7 og 13.5-RELEASE-p8 (problemet berører ikke version 15.x). Sårbarheden opstår kun ved brug af direktivet "tcp-setmss" i reglerne for ipfw. Problemet skyldes, at tcp-setmss handleren under visse omstændigheder kan frigive hukommelsen, hvori de modtagne pakke data er opbevaret, og returnere en fejl. Den nævnte fejl blev ignoreret af regelbehandlingsmotoren, hvilket førte til, at den efterfølgende regel kunne tillade passage af en pakke, hvis data-buffer allerede var frigivet, hvilket medfører en dereferencering af en null pointer.
Kilde: opennet.ru
