Kaugjuhtimise root-haavatavus IPv6 automaatkonfiguratsiooni töötlejas FreeBSD-s

FreeBSDi rakendatavates taustprotsessides rtsold ja utiliidis rtsol avastati haavatavus (CVE-2025-14558), mis võimaldab saavutada kaugtäidete sooritamist root-i õigustes, saates spetsiaalselt kujundatud IPv6 ruuterireklaami pakette. RA-sõnumid (Router Advertisement), mille kaudu haavatavust kasutatakse, ei suunata edasi ja peaksid ruuterite poolt kõrvale heidetama. Rünnaku sooritamiseks peab ründaja olema võimeline saatma spetsiaalselt kujundatud paketti süsteemist, mis asub samas võrgu segmendis haavatava hostiga.

Taustprotsess rtsold kasutatakse hostides auto seadistamiseks IPv6 kaudu SLAAC (StateLess Address AutoConfiguration) mehhanismi abil. Host saadab ICMPv6 sõnumi RS (Router Solicitation) multikastrežiimis ja ootab vastavaid RA-sõnumeid (Router Advertisement) ruuteritelt, mis sisaldavad teavet võrgu prefiksi ja seadistamisparameetrite kohta. Utiliit rtsol rakendab sarnast funktsionaalsust ilma taustprotsessi käivitamata.

Haavatavus on põhjustatud sellest, et rtsold edastab RA-sõnumis määratud „domain search” nimekirja utiliidile resolvconf ilma õiguse kontrollimise ja spetsiaalsete märkide põgenemiseta. Utiliit resolvconf on shell-skript, mis ei kontrolli sisendeid. Haavatavuse kasutamiseks piisab RA-paketi saatmisest, mille nimi domeen, sisaldab spetsiaalseid märke, näiteks „test`id`test”. Haavatavus on parandatud FreeBSD 15.0-RELEASE-p1, 14.3-RELEASE-p7, 13.5-RELEASE-p8 värskendustes.

Lisaks on FreeBSD 14.3-RELEASE-p7 ja 13.5-RELEASE-p8 värskendustes (15.x haru ei ole probleemiga seotud) kõrvaldatud haavatavus (CVE-2025-14769) ipfw paketifiltris, mis võimaldab teenuse katkestamist spetsiaalselt kujundatud pakettide saatmise kaudu. Haavatavus ilmneb ainult siis, kui kasutatakse „tcp-setmss” direktiivi ipfw reeglites. Probleem on põhjustatud sellest, et tcp-setmss töötleja võib teatud oludes vabastada mälu, kus on hoitud vastuvõetud andmed, ja naasta veaga. Antud viga jäeti reeglite töötlemismootoris tähelepanuta, mistõttu järgnev reegel võis lubada paketi läbimist, mille andmete mällu oli juba vabastatud, mis võib viia nullindikaatori dekodeerimiseni.

Allikas: opennet.ru