In den von verschiedenen Distributionen verwendeten Konfigurationen des DHCP-Servers Kea, der vom ISC-Konsortium als Ersatz für den klassischen ISC DHCP entwickelt wird, wurden Schwachstellen entdeckt, die es in bestimmten Situationen einem lokalen Benutzer ermöglichen, Code mit Root-Rechten auszuführen oder beliebige Dateien im System zu überschreiben.
- CVE-2025-32801 - ermöglicht es einem lokalen Benutzer, Root-Rechte in Systemen zu erlangen, in denen Kea unter dem Benutzer root ausgeführt wird, oder die vollständige Kontrolle über den Kea-Server in Systemen zu übernehmen, die Kea unter einem Benutzer mit eingeschränkten Rechten ausführen. Der Angriff erfolgt über Zugriff auf die REST-API, die vom kea-ctrl-agent-Dienst bereitgestellt wird und standardmäßig Anfragen über localhost:8000 annimmt. In den meisten Konfigurationen ist die REST-API für alle lokalen Benutzer des Systems ohne Authentifizierung zugänglich.
Die Verwaltung erfolgt über den Befehl set-config, der es ermöglicht, die Einstellungen aller Kea-Dienste zu steuern. Unter anderem kann dieser Befehl verwendet werden, um den Parameter „hooks-libraries“ zu ändern, der das Laden zusätzlicher Handler-Bibliotheken beeinflusst. Ein Angreifer kann die Ausführung seines Codes im Kontext der Kea-Dienste erreichen, indem er seine eigene Bibliothek injiziert, deren Funktion mit dem Attribut „constructor“ beim Öffnen der Bibliothek durch die Funktion dlopen() aufgerufen wird. curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-set", "arguments": { "Control-agent": {"hooks-libraries": [{"library": "/home/someuser/libexploit.so"}] }}}' \ localhost:8000
- CVE-2025-32802 — Diese Sicherheitsanfälligkeit ermöglicht die Verwendung des Befehls config-write über die REST-API, um beliebige Dateien im System zu überschreiben, abhängig von den Berechtigungen des Benutzers, unter dem Kea ausgeführt wird. Der Angreifer kann den geschriebenen Inhalt kontrollieren, jedoch werden die Daten im JSON-Format gespeichert und müssen gültige Kea-Konfigurationen enthalten. Dennoch könnte dies ausreichen, um Root-Befehle durch Manipulation von Dateien im Verzeichnis /etc/profile.d auszuführen. curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-write", "arguments": { "filename": "/etc/evil.conf" } }' \ localhost:8000
Es werden mehrere Szenarien für die Verwendung des Befehls config-write erwähnt, um die Kea-Einstellungen zu ändern. Beispielsweise können Log-Dateien an beliebige Stellen im Dateisystem umgeleitet, die Verwaltung von UNIX-Socket-Diensten gefälscht oder die Funktionsweise von Kea blockiert werden.
- CVE-2025-32803 — Die Protokolle (/var/log/kea*.log) sowie die Dateien /var/lib/kea/*.cvs, die Informationen über die Bindung enthalten, IP-Adressen (DHCP-Leasing) und zugehörige Daten sind für jedermann zum Lesen verfügbar.
Der Start von Kea mit Root-Rechten ist in den Distributionen Arch Linux, Gentoo, openSUSE Tumbleweed (bis 23. Mai), FreeBSD, NetBSD (pkgsrc) und OpenBSD gängig. In Debian, Ubuntu und Fedora wird der Dienst von einem separaten, nicht privilegierten Benutzer ausgeführt. In Gentoo ist das Kea-Paket nur im unstable-Repository für die Architektur amd64 verfügbar. In Ubuntu wurde der Dienst kea-ctrl-agent, im Gegensatz zu anderen Systemen, nur gestartet, wenn in den Einstellungen ein Passwort für den Zugriff auf die REST-API angegeben wurde. Updates der Pakete in den Distributionen können auf den Seiten von Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, ALT Linux, Arch, FreeBSD, OpenBSD und NetBSD verfolgt werden.
Zusätzlich kann die Schwachstelle (CVE-2025-23394) erwähnt werden, die im IMAP-Server-Paket Cyrus auftritt, das von dem openSUSE-Projekt in den Repositories Tumbleweed und Factory bereitgestellt wird. Diese Schwachstelle ermöglicht es einem lokalen Benutzer, die Berechtigungen von cyrus auf root anzuheben. Der Schwachstelle wurde ein kritisches Gefahrenniveau (9,8 von 10) zugewiesen, das jedoch unberechtigterweise übertrieben ist, da ein Angriff die Berechtigungen von cyrus erfordert, die durch die Ausnutzung einer anderen Schwachstelle in cyrus-imapd erlangt werden können.
Das Problem entstand durch einen Fehler im Umgang mit symbolischen Links im Skript daily-backup.sh, das speziell für die Distributionen SUSE/openSUSE entwickelt wurde. Die Schwachstelle besteht darin, dass das Skript daily-backup.sh mit Root-Rechten ausgeführt wird, aber im Verzeichnis /var/lib/imap schreibt, wo ein nicht privilegierter Benutzer cyrus Dateien erstellen kann. Der Angriff besteht darin, einen symbolischen Link zu einem Systemdatei (zum Beispiel kann man einen symbolischen Link /var/lib/imap/mailboxes.txt erstellen, der auf /etc/shadow verweist). Die Schwachstelle wurde in der Version des cyrus-imapd-Pakets 3.8.4-2.1 behoben.
Quelle: opennet.ru
