Nelle configurazioni del server DHCP Kea, sviluppato dal consorzio ISC come sostituto del classico ISC DHCP, sono state individuate vulnerabilità che in alcune circostanze consentono a un utente locale di eseguire codice con i privilegi di root o di sovrascrivere qualsiasi file nel sistema:
- CVE-2025-32801 — consente a un utente locale di ottenere privilegi di root nei sistemi in cui Kea viene eseguito come utente root, o di avere il controllo completo sul server Kea nei sistemi che eseguono Kea con un utente a privilegi ridotti. L'attacco viene effettuato tramite l'accesso all'API REST fornita dal servizio kea-ctrl-agent, che per impostazione predefinita accetta richieste tramite localhost:8000. Nella maggior parte delle configurazioni, l'API REST è accessibile a tutti gli utenti locali del sistema senza alcuna autenticazione.
L'operazione viene eseguita inviando il comando set-config, che consente di gestire le impostazioni di tutti i servizi Kea. Tra l'altro, il comando può essere utilizzato per modificare il parametro «hooks-libraries», che influisce sul caricamento di ulteriori librerie di gestori. Un attaccante può ottenere l'esecuzione del proprio codice nel contesto dei servizi Kea sostituendo la propria libreria, la cui funzione con l'attributo «constructor» verrà chiamata all'apertura della libreria tramite la funzione dlopen(). curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-set", "arguments": { "Control-agent": {"hooks-libraries": [{"library": "/home/someuser/libexploit.so"}] }}}' \ localhost:8000
- CVE-2025-32802 — questa vulnerabilità consente di utilizzare il comando config-write nell'API REST per sovrascrivere qualsiasi file nel sistema, a seconda dei diritti dell'utente con cui viene eseguito Kea. L'attaccante può controllare il contenuto scritto, ma i dati vengono registrati in formato JSON e devono includere configurazioni corrette di Kea. Tuttavia, non si può escludere che questo possa essere sufficiente per eseguire comandi con i diritti di root tramite la manipolazione dei file nella directory /etc/profile.d. curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-write", "arguments": { "filename": "/etc/evil.conf" } }' \ localhost:8000
Viene menzionato separatamente diversi scenari di utilizzo del comando config-write per modificare le impostazioni di Kea. Ad esempio, è possibile reindirizzare i file di log in posizioni arbitrarie del filesystem, organizzare lo spoofing dei socket UNIX di controllo dei servizi o bloccare il funzionamento di Kea.
- CVE-2025-32803 — i log (/var/log/kea*.log), così come i file /var/lib/kea/*.cvs, contenenti informazioni sulla bind IP addresses (DHCP lease) e dati correlati, sono accessibili a tutti in lettura.
L'avvio di Kea con diritti di root è praticato nelle distribuzioni Arch Linux, Gentoo, openSUSE Tumbleweed (fino al 23 maggio), FreeBSD, NetBSD (pkgsrc) e OpenBSD. In Debian, Ubuntu e Fedora, il servizio veniva avviato sotto un utente non privilegiato separato. In Gentoo, il pacchetto con Kea è disponibile solo nel repository unstable per l'architettura amd64. In Ubuntu, a differenza di altri sistemi, il servizio kea-ctrl-agent veniva avviato solo se era specificato nelle impostazioni di accesso all'API REST tramite password. È possibile monitorare la pubblicazione di aggiornamenti dei pacchetti nelle distribuzioni sulle pagine: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, ALT Linux, Arch, FreeBSD, OpenBSD e NetBSD.
È importante segnalare anche una vulnerabilità (CVE-2025-23394) che si manifesta nel pacchetto del server IMAP Cyrus fornito dal progetto openSUSE nei repository Tumbleweed e Factory. Questa vulnerabilità consente a un utente locale di elevare i privilegi da utente cyrus a root. Alla vulnerabilità è stato assegnato un livello critico di pericolo (9.8 su 10), ma questo è ingiustificatamente sovrastimato, poiché per attaccare è necessaria l'autorizzazione come cyrus, che può essere ottenuta attraverso l'esploitazione di un'altra vulnerabilità in cyrus-imapd.
Il problema è causato da un errore nella gestione dei collegamenti simbolici nello script daily-backup.sh, specifico per le distribuzioni SUSE/openSUSE. La vulnerabilità consiste nel fatto che lo script daily-backup.sh viene eseguito con i diritti di root, ma scrive nella directory /var/lib/imap, dove un utente non privilegiato come cyrus può creare file. L'attacco consiste nella creazione di un collegamento simbolico che punta a un file di sistema (ad esempio, è possibile creare un collegamento simbolico /var/lib/imap/mailboxes.txt che punta a /etc/shadow). La vulnerabilità è stata corretta nella versione del pacchetto cyrus-imapd 3.8.4-2.1.
Fonte: opennet.ru
