Im Hintergrundprozess rtsold und dem Dienstprogramm rtsol, die in FreeBSD verwendet werden, wurde eine Schwachstelle (CVE-2025-14558) entdeckt, die das entfernte Ausführen von Code mit Root-Rechten durch das Senden eines speziell gestalteten Pakets mit IPv6-Router-Ankündigung ermöglicht. RA-Nachrichten (Router Advertisement), über die die Schwachstelle ausgenutzt wird, werden nicht weitergeleitet und sollten von Routern verworfen werden. Um einen Angriff durchzuführen, muss der Angreifer in der Lage sein, ein speziell gestaltetes Paket von einem System zu senden, das sich im selben Netzsegment wie der verwundbare Host befindet.
Der Hintergrundprozess rtsold wird auf Hosts für die automatische Konfiguration von Verbindungen über IPv6 mit dem SLAAC-Mechanismus (StateLess Address AutoConfiguration) verwendet. Der Host sendet eine ICMPv6-Nachricht RS (Router Solicitation) im Multicast-Modus und wartet auf die eingehenden RA-Nachrichten (Router Advertisement) von Routern, die Informationen über Netzprefixe und Konfigurationsparameter enthalten. Das Dienstprogramm rtsol bietet eine ähnliche Funktionalität, ohne den Hintergrundprozess zu starten.
Die Schwachstelle entsteht, weil rtsold die im RA-Nachricht enthaltene Liste "domain search" an das Dienstprogramm resolvconf weitergibt, ohne die Gültigkeit zu überprüfen und ohne spezielle Zeichen zu maskieren. Das Dienstprogramm resolvconf ist ein Shell-Skript, das keine Eingabedaten überprüft. Um die Schwachstelle auszunutzen, reicht es aus, ein RA-Paket mit einem Namen der Domain unterscheiden, gesetzt werden., der spezielle Zeichen enthält, z.B. "test`id`test", zu senden. Die Schwachstelle wurde in den Aktualisierungen FreeBSD 15.0-RELEASE-p1, 14.3-RELEASE-p7, 13.5-RELEASE-p8 behoben.
Zudem wurde in den Aktualisierungen FreeBSD 14.3-RELEASE-p7 und 13.5-RELEASE-p8 (der Branch 15.x ist nicht betroffen) eine Schwachstelle (CVE-2025-14769) im IPFW-Paketfilter behoben, die einen Dienstüberlastungsangriff durch das Senden von speziell gestalteten Paketen ermöglicht. Die Schwachstelle tritt nur bei Verwendung der Direktive "tcp-setmss" in den IPFW-Regeln auf. Das Problem entsteht dadurch, dass der tcp-setmss-Handler unter bestimmten Umständen den Speicher, in dem die empfangenen Paketdaten gespeichert sind, freigibt und einen Fehler zurückgibt. Der angegebene Fehler wurde vom Regelverarbeitungsengine ignoriert, wodurch das folgende Regelpaket einen bereits freigegebenen Datenpuffer erlauben konnte, was zu einer Dereferenzierung eines Nullzeigers führt.
Quelle: opennet.ru
