I de forskellige konfigurationer af DHCP-serveren Kea, der udvikles af ISC-konsortiet som en erstatning for den klassiske ISC DHCP, er der identificeret sårbarheder, der i visse situationer tillader en lokal bruger at udføre kode med root-rettigheder eller overskrive enhver fil i systemet:
- CVE-2025-32801 — tillader en lokal bruger at opnå root-rettigheder i systemer, hvor Kea kører under root-brugeren, eller få fuld kontrol over Kea-serveren i systemer, der kører Kea under en bruger med begrænsede privilegier. Angrebet udføres ved at tilgå REST API'en, som leveres af kea-ctrl-agent tjenesten og som som standard tager imod anmodninger via localhost:8000. I de fleste konfigurationer er REST API'en tilgængelig for alle lokale brugere i systemet uden godkendelse.
Udnyttelsen sker ved at sende kommandoen set-config, som giver mulighed for at administrere indstillingerne for alle Kea-tjenester. Blandt andet kan kommandoen bruges til at ændre parameteren "hooks-libraries", der påvirker indlæsningen af ekstra håndteringsbiblioteker. Angriberen kan få udført sin kode i konteksten af Kea-tjenester gennem substituering af sit eget bibliotek, hvis funktion med attributtet "constructor" vil blive kaldt, når biblioteksfunktionen dlopen() åbner biblioteket. curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-set", "arguments": { "Control-agent": {"hooks-libraries": [{"library": "/home/someuser/libexploit.so"}] }}}' \ localhost:8000
- CVE-2025-32802 — sårbarheden giver mulighed for at bruge kommandoen config-write i REST API'en til at overskrive enhver fil i systemet, alt efter rettighederne for den bruger, der kører Kea. Angriberen kan kontrollere det skrevne indhold, men dataene skrives i JSON-format og skal indeholde gyldige Kea-indstillinger. Ikke desto mindre kan det være tilstrækkeligt til at udføre kommandoer med root-rettigheder gennem manipulation af filer i kataloget /etc/profile.d. curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-write", "arguments": { "filename": "/etc/evil.conf" } }' \ localhost:8000
Der nævnes flere scenarier for brugen af kommandoen config-write til at ændre indstillingerne for Kea. For eksempel kan logfiler omdirigeres til vilkårlige steder i filsystemet, spofe UNIX-socket servicekontroller eller blokere Keas drift.
- CVE-2025-32803 - logfilerne (/var/log/kea*.log) samt filer /var/lib/kea/*.cvs, der indeholder oplysninger om bindinger IP-adresser (DHCP lease) og tilknyttede data er tilgængelige for alle i læsebeskyttelse.
At køre Kea med root-rettigheder praktiseres i distributioner som Arch Linux, Gentoo, openSUSE Tumbleweed (indtil 23. maj), FreeBSD, NetBSD (pkgsrc) og OpenBSD. I Debian, Ubuntu og Fedora kørte tjenesten under en separat, ikke-privilegeret bruger. I Gentoo er pakken med Kea kun tilgængelig i unstable-repositoriet for arkitekturen amd64. I Ubuntu, i modsætning til andre systemer, blev tjenesten kea-ctrl-agent kun startet, hvis der blev angivet adgangsindstillinger til REST API med adgangskode. Man kan følge med i offentliggørelsen af opdateringer til pakker i distributioner på siderne: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, ALT Linux, Arch, FreeBSD, OpenBSD og NetBSD.
Desuden kan der nævnes en sårbarhed (CVE-2025-23394), der forekommer i IMAP-serverpakken Cyrus, der leveres af openSUSE-projektet i repositorierne Tumbleweed og Factory. Sårbarheden gør det muligt for en lokal bruger at hæve privilegierne fra cyrus-bruger til root. Sårbarheden er klassificeret som kritisk (9.8 ud af 10), men dette er ubegrundet, da det kræver, at man har cyrus-rettigheder, som kan opnås gennem udnyttelse af en anden sårbarhed i cyrus-imapd.
Problemet skyldes en fejl i behandlingen af symbolske links i scriptet daily-backup.sh, som er specifikt for distributioner af SUSE/openSUSE. Sårbarheden består i, at scriptet daily-backup.sh køres med root-rettigheder, men skriver til biblioteket /var/lib/imap, hvor den ikke-privilegerede bruger cyrus kan oprette filer. Angrebet handler om at oprette en symbolsk link til en systemfil (for eksempel kan man oprette en symbolsk link /var/lib/imap/mailboxes.txt som peger på /etc/shadow). Sårbarheden er blevet udbedret i versionen af pakken cyrus-imapd 3.8.4-2.1.
Kilde: opennet.ru
