Nel processo in background rtsold e nell'utilità rtsol utilizzati in FreeBSD è stata identificata una vulnerabilità (CVE-2025-14558) che consente l'esecuzione remota di codice con diritti di root mediante l'invio di un pacchetto specialmente formattato contenente un annuncio di router IPv6. I messaggi RA (Router Advertisement), attraverso i quali viene sfruttata la vulnerabilità, non vengono instradati e devono essere scartati dai router. Per attuare l'attacco, un aggressore deve avere la capacità di inviare un pacchetto appositamente formattato da un sistema che si trova nella stessa rete del host vulnerabile.
Il processo in background rtsold è utilizzato sugli host per la configurazione automatica della connessione tramite IPv6 utilizzando il meccanismo SLAAC (StateLess Address AutoConfiguration). L'host invia un messaggio ICMPv6 RS (Router Solicitation) in modalità multicast e attende la ricezione di messaggi RA (Router Advertisement) dai router, contenenti informazioni sui prefissi di rete e sui parametri di configurazione. L'utilità rtsol implementa una funzionalità simile senza avviare un processo in background.
La vulnerabilità è causata dal fatto che rtsold trasmette l'elenco "domain search" specificato nel messaggio RA all'utilità resolvconf senza controllare la correttezza e senza eseguire l'escaping dei caratteri speciali. L'utilità resolvconf è uno script shell che non verifica i dati in ingresso. Per sfruttare la vulnerabilità, è sufficiente inviare un pacchetto RA con un nome di dominio, contenente caratteri speciali, come "test`id`test. La vulnerabilità è stata corretta nell'aggiornamento FreeBSD 15.0-RELEASE-p1, 14.3-RELEASE-p7, 13.5-RELEASE-p8.
Inoltre, negli aggiornamenti FreeBSD 14.3-RELEASE-p7 e 13.5-RELEASE-p8 (il ramo 15.x non è interessato) è stata corretta una vulnerabilità (CVE-2025-14769) nel filtro dei pacchetti ipfw, che consente di causare un'interruzione del servizio inviando pacchetti appositamente formattati. La vulnerabilità si manifesta solo quando si utilizza la direttiva «tcp-setmss» nelle regole di ipfw. Il problema è causato dal fatto che il gestore tcp-setmss, in determinate circostanze, può liberare la memoria in cui sono memorizzati i dati ricevuti del pacchetto e restituire un errore. Questo errore veniva ignorato dal motore di elaborazione delle regole, il che poteva permettere il passaggio di un pacchetto il cui buffer di dati era già stato liberato, causando così la de-referenziazione di un puntatore nullo.
Fonte: opennet.ru
