Nelle configurazioni del server DHCP Kea, sviluppato dal consorzio ISC come sostituto del classico ISC DHCP, sono state individuate delle vulnerabilità che in alcune situazioni consentono a un utente locale di eseguire codice con diritti di root o di sovrascrivere qualsiasi file nel sistema:
- CVE-2025-32801 — consente a un utente locale di ottenere privilegi di root nei sistemi in cui Kea viene eseguito sotto l'utente root, o di avere il pieno controllo sul server Kea nei sistemi che eseguono Kea sotto un utente con privilegi limitati. L'attacco avviene tramite l'accesso all'API REST fornita dal servizio kea-ctrl-agent, che per default accetta richieste tramite localhost:8000. Nella maggior parte delle configurazioni, l'API REST è accessibile a tutti gli utenti locali del sistema senza autenticazione.
L'attacco viene effettuato inviando il comando set-config, che consente di gestire le impostazioni di tutti i servizi Kea. Tra l'altro, il comando può essere utilizzato per modificare il parametro "hooks-libraries", che influisce sul caricamento di librerie di gestione aggiuntive. L'attaccante può far eseguire il proprio codice nel contesto dei servizi Kea sostituendo la propria libreria, la cui funzione con l'attributo "constructor" verrà chiamata all'apertura della libreria tramite la funzione dlopen(). curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-set", "arguments": { "Control-agent": {"hooks-libraries": [{"library": "/home/someuser/libexploit.so"}] }}}' \ localhost:8000
- CVE-2025-32802 — la vulnerabilità consente di utilizzare il comando config-write nell'API REST per sovrascrivere qualsiasi file nel sistema, a seconda dei diritti dell'utente sotto cui viene eseguito Kea. L'attaccante può controllare il contenuto scritto, ma i dati vengono registrati in formato JSON e devono includere impostazioni valide di Kea. Tuttavia, è possibile che ciò sia sufficiente per eseguire comandi con diritti di root tramite la manipolazione di file nella directory /etc/profile.d. curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-write", "arguments": { "filename": "/etc/evil.conf" } }' \ localhost:8000
Vengono citati diversi scenari di utilizzo del comando config-write per modificare le impostazioni di Kea. Ad esempio, è possibile reindirizzare i file di log in una posizione arbitraria del file system, organizzare lo spoofing dei socket UNIX di servizio o bloccare il funzionamento di Kea.
- CVE-2025-32803 – i log (\/var\/log\/kea*.log), così come i file \/var\/lib\/kea\/*.cvs, contenenti informazioni sul binding indirizzi IP (DHCP lease) e i dati correlati, sono accessibili a tutti in lettura.
L'esecuzione di Kea con privilegi di root è comune nelle distribuzioni Arch Linux, Gentoo, openSUSE Tumbleweed (fino al 23 maggio), FreeBSD, NetBSD (pkgsrc) e OpenBSD. In Debian, Ubuntu e Fedora, il servizio veniva avviato con un utente non privilegiato separato. In Gentoo, il pacchetto di Kea è disponibile solo nel repository unstable per l'architettura amd64. In Ubuntu, a differenza di altri sistemi, il servizio kea-ctrl-agent veniva avviato solo nel caso in cui fosse specificato nelle impostazioni l'accesso all'API REST tramite password. È possibile seguire la pubblicazione degli aggiornamenti dei pacchetti nelle distribuzioni alle seguenti pagine: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, ALT Linux, Arch, FreeBSD, OpenBSD e NetBSD.
Si può anche notare la vulnerabilità (CVE-2025-23394), che si manifesta nel pacchetto del server IMAP Cyrus, fornito dal progetto openSUSE nei repository Tumbleweed e Factory. Questa vulnerabilità consente a un utente locale di elevare i privilegi dall'utente cyrus a root. La vulnerabilità ha un livello critico di pericolo (9.8 su 10), ma è ingiustificatamente elevato, poiché per attaccare è necessaria l'autorizzazione dell'utente cyrus, che può essere ottenuta sfruttando un'altra vulnerabilità in cyrus-imapd.
Il problema è causato da un errore nella gestione dei link simbolici nello script daily-backup.sh, specifico per le distribuzioni SUSE/openSUSE. La vulnerabilità risiede nel fatto che lo script daily-backup.sh viene eseguito con privilegi di root, ma registra nel catalogo \/var\/lib\/imap, nel quale può creare file un utente non privilegiato come cyrus. L'attacco consiste nella creazione di un link simbolico che punta a un file di sistema (ad esempio, è possibile creare un link simbolico \/var\/lib\/imap\/mailboxes.txt che punta a \/etc\/shadow). La vulnerabilità è stata risolta nella versione del pacchetto cyrus-imapd 3.8.4-2.1.
Fonte: opennet.ru
