A különböző disztribúciók által alkalmazott Kea DHCP-szerver konfigurációkban, amelyet az ISC konzorcium fejlesztett ki a klasszikus ISC DHCP helyettesítéseként, sebezhetőségeket azonosítottak, amelyek bizonyos helyzetekben lehetővé teszik a helyi felhasználók számára, hogy root jogosultságokkal kódot futtassanak, vagy bármilyen fájlt felülírjanak a rendszeren:
- CVE-2025-32801 – lehetővé teszi a helyi felhasználók számára, hogy root jogosultságokat szerezzenek azokban az rendszerekben, ahol a Kea root felhasználóként fut, vagy teljes ellenőrzést nyerjenek a Kea szerver felett azokban a rendszerekben, ahol a Kea csökkentett jogosultságokkal rendelkező felhasználóként fut. A támadás a kea-ctrl-agent szolgáltatás által biztosított REST API elérésének segítségével történik, amely alapértelmezés szerint a localhost:8000 címen fogadja a kéréseket. A legtöbb konfigurációban a REST API minden helyi felhasználó számára elérhető hitelesítés nélkül.
A kihasználás a set-config parancs küldésével történik, amely lehetővé teszi a Kea összes szolgáltatásának beállításainak kezelését. A parancs többek között a «hooks-libraries» paraméter megváltoztatására is használható, amely befolyásolja a további kezelőkönyvtárak betöltését. A támadó elérheti a kódja hajtását a Kea szolgáltatások kontextusában a saját könyvtárának behelyettesítésével, amelynek a «constructor» attribútummal rendelkező funkciója a könyvtár megnyitásakor a dlopen() függvénnyel fog aktiválódni. curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-set", "arguments": { "Control-agent": {"hooks-libraries": [{"library": "/home/someuser/libexploit.so"}] }}}' \ localhost:8000
- CVE-2025-32802 – a sebezhetőség lehetővé teszi a config-write parancs használatát a REST API-n keresztül, amely lehetővé teszi bármely fájl felülírását a rendszeren a Kea-t futtató felhasználó jogai szerint. A támadó ellenőrizheti a rögzített tartalmat, de az adatok JSON formátumban íródnak, és a Kea megfelelő beállításait kell tartalmazniuk. Mindazonáltal valószínű, hogy ez elegendő lehet a root jogokkal rendelkező parancsok végrehajtásához a /etc/profile.d könyvtár fájljainak manipulálásán keresztül. curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-write", "arguments": { "filename": "/etc/evil.conf" } }' \ localhost:8000
Külön említést nyer néhány felhasználási forgatókönyv a config-write parancs használatával a Kea beállításainak módosítására. Például, átirányíthatók a naplófájlok a fájlrendszer tetszőleges helyére, megvalósítható a UNIX-socketek szolgáltatásainak álcázása, vagy blokkolható a Kea működése.
- CVE-2025-32803 — a naplók (/{var/log/kea*.log}), valamint a {var/lib/kea/*.cvs} fájlok, amelyek a kötési információkat tartalmazzák IP-címek (DHCP bérlet) és a kapcsolódó adatok mindenki számára olvashatóak.
A Kea root jogosultságokkal való indítása gyakorlat a dArch Linux, Gentoo, openSUSE Tumbleweed (május 23-ig), FreeBSD, NetBSD (pkgsrc) és OpenBSD disztribúciókban. A Debian, Ubuntu és Fedora rendszerekben a szolgáltatást külön nem privilegizált felhasználó indította. A Gentoo-ban a Kea csomag csak az unstable tárolóban érhető el az amd64 architektúrához. Az Ubuntu esetében, ellentétben más rendszerekkel, a kea-ctrl-agent szolgáltatás csak akkor indult el, ha a REST API-hoz való hozzáférés jelszóval volt megadva a beállításokban. Az egyes disztribúciók csomagfrissítéseinek nyomon követése a következő oldalakon lehetséges: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, ALT Linux, Arch, FreeBSD, OpenBSD és NetBSD.
Ezenkívül érdemes megemlíteni egy sebezhetőséget (CVE-2025-23394), amely a Cyrus IMAP-szerver csomagban jelentkezik, amelyet az openSUSE projekt biztosít a Tumbleweed és a Factory tárolókban. A sebezhetőség lehetővé teszi, hogy egy helyi felhasználó jogosultságokat emeljen fel a cyrus felhasználóról root jogokkal. A sebezhetőség kritikus veszélyességi szintet kapott (9.8 a 10-ből), de ez indokolatlanul magas, mivel a támadáshoz cyrus jogok szükségesek, amelyeket más sebezhetőségek kihasználásával lehet megszerezni a cyrus-imapd-ban.
A probléma a daily-backup.sh szkripttel kapcsolatos hibából adódik, amely a SUSE/openSUSE disztribúciókra jellemző. A sebezhetőség lényege, hogy a daily-backup.sh szkript root jogosultsággal fut, de írást végez a /var/lib/imap könyvtárba, ahol a cyrus nem privilegizált felhasználó fájlokat hozhat létre. A támadás a szimbolikus link létrehozására épül, amely egy rendszerfájlra mutat (például létrehozhat egy szimbolikus linket a /var/lib/imap/mailboxes.txt néven, amely a /etc/shadow-ra mutat). A sebezhetőséget a cyrus-imapd 3.8.4-2.1 csomag verziójában javították.
Forrás: opennet.ru
