In dem Hintergrundprozess rtsold und dem Tool rtsol von FreeBSD wurde eine Schwachstelle (CVE-2025-14558) entdeckt, die die remote Ausführung von Code mit Root-Rechten durch das Senden eines speziell formatierten Pakets mit einer IPv6-Router-Ankündigung ermöglicht. Die RA-Nachrichten (Router Advertisement), die die Schwachstelle ausnutzen, werden nicht geroutet und sollten von Routern verworfen werden. Um einen Angriff durchzuführen, muss der Angreifer in der Lage sein, ein speziell formatiertes Paket von einem System zu senden, das sich im gleichen Netzwerksegment wie der verwundbare Host befindet.
Der Hintergrundprozess rtsold wird auf Hosts für die automatische Konfiguration der Verbindung über IPv6 mithilfe des SLAAC-Mechanismus (StateLess Address AutoConfiguration) verwendet. Der Host sendet eine ICMPv6-Nachricht RS (Router Solicitation) im Multicast-Modus und wartet auf die Eingabe der RA-Nachrichten (Router Advertisement) von den Routern, die Informationen über die Netzwerkpräfixe und Konfigurationsparameter enthalten. Das Tool rtsol bietet eine ähnliche Funktionalität, ohne den Hintergrundprozess zu starten.
Die Schwachstelle entsteht dadurch, dass rtsold die im RA-Meldung angegebene Liste «domain search» ohne Validierung und Escape von Sonderzeichen an das Tool resolvconf weitergibt. Das Tool resolvconf ist ein Shell-Skript, das keine Eingabedaten überprüft. Um die Schwachstelle auszunutzen, genügt es, ein RA-Paket mit einem Namen zu senden, Nach Abschluss des Transfers kann die Domain auf unser Hosting gerichtet werden., das Sonderzeichen enthält, wie zum Beispiel «test`id`test». Die Schwachstelle wurde in den FreeBSD-Updates 15.0-RELEASE-p1, 14.3-RELEASE-p7, 13.5-RELEASE-p8 behoben.
Darüber hinaus wurde in den Updates FreeBSD 14.3-RELEASE-p7 und 13.5-RELEASE-p8 (Branch 15.x ist nicht betroffen) eine Schwachstelle (CVE-2025-14769) im Paketfilter ipfw behoben, die einen DoS-Angriff durch das Senden speziell gestalteter Pakete ermöglichen könnte. Die Schwachstelle tritt nur bei Verwendung der Direktive „tcp-setmss“ in ipfw-Regeln auf. Das Problem entsteht, weil der tcp-setmss-Handler unter bestimmten Umständen den Speicher, in dem die empfangenen Paketdaten gespeichert sind, freigeben und einen Fehler zurückgeben kann. Dieser Fehler wurde von der Regelverarbeitung-Engine ignoriert, sodass die nachfolgende Regel das Durchlassen eines Pakets ermöglichen konnte, dessen Datenpuffer bereits freigegeben wurde, was zu einem Nullzeiger-Dereferenzierungsfehler führt.
Quelle: opennet.ru
