As configurações do servidor DHCP Kea, desenvolvidas pelo consórcio ISC como uma alternativa ao clássico ISC DHCP, apresentam vulnerabilidades que, em algumas situações, permitem que um usuário local execute código com privilégios de root ou sobrescreva qualquer arquivo no sistema:
- CVE-2025-32801 — permite que um usuário local obtenha privilégios de root em sistemas onde o Kea é executado sob o usuário root, ou controle total do servidor Kea em sistemas que executam o Kea sob um usuário com privilégios reduzidos. O ataque é realizado através de chamadas ao REST API fornecido pelo serviço kea-ctrl-agent, que por padrão aceita solicitações através de localhost:8000. Na maioria das configurações, o REST API está disponível para todos os usuários locais do sistema sem necessidade de autenticação.
A exploração é realizada através do envio do comando set-config, que permite gerenciar as configurações de todos os serviços Kea. Entre outras coisas, o comando pode ser usado para alterar o parâmetro "hooks-libraries", que afeta o carregamento de bibliotecas manipuladoras adicionais. O atacante pode fazer com que seu código seja executado no contexto dos serviços Kea substituindo sua biblioteca, cuja função com o atributo "constructor" será chamada ao abrir a biblioteca pela função dlopen(). curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-set", "arguments": { "Control-agent": {"hooks-libraries": [{"library": "/home/someuser/libexploit.so"}] }}}' \ localhost:8000
- CVE-2025-32802 — a vulnerabilidade permite usar o comando config-write no REST API para sobrescrever qualquer arquivo no sistema, conforme permitido pelos direitos do usuário sob o qual o Kea é executado. O atacante pode controlar o conteúdo gravado, mas os dados são gravados no formato JSON e devem incluir configurações corretas do Kea. No entanto, não está excluído que isso pode ser suficiente para executar comandos com privilégios de root manipulando arquivos no diretório /etc/profile.d. curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-write", "arguments": { "filename": "/etc/evil.conf" } }' \ localhost:8000
Vários cenários de uso do comando config-write para alterar configurações do Kea são mencionados separadamente. Por exemplo, é possível redirecionar arquivos de log para um local arbitrário do sistema de arquivos, organizar o spoofing de sockets UNIX dos serviços ou bloquear a operação do Kea.
- CVE-2025-32803 — logs (/var/log/kea*.log), bem como arquivos /var/lib/kea/*.cvs que contêm informações de vinculação endereços IP (DHCP lease) e dados relacionados estão disponíveis para leitura a todos.
Executar o Kea com privilégios de root é comum nas distribuições Arch Linux, Gentoo, openSUSE Tumbleweed (até 23 de maio), FreeBSD, NetBSD (pkgsrc) e OpenBSD. No Debian, Ubuntu e Fedora, o serviço é executado sob um usuário não privilegiado separado. No Gentoo, o pacote do Kea está disponível apenas no repositório unstable para arquitetura amd64. No Ubuntu, ao contrário de outros sistemas, o serviço kea-ctrl-agent é iniciado apenas quando é especificado nas configurações de acesso à API REST com senha. É possível acompanhar a publicação de atualizações de pacotes nas distribuições nas páginas: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, ALT Linux, Arch, FreeBSD, OpenBSD e NetBSD.
Além disso, pode-se destacar a vulnerabilidade (CVE-2025-23394), presente no pacote do servidor IMAP Cyrus fornecido pelo projeto openSUSE nos repositórios Tumbleweed e Factory. A vulnerabilidade permite que um usuário local eleve privilégios do usuário cyrus para root. A vulnerabilidade recebeu um nível crítico de gravidade (9,8 de 10), mas é injustificadamente exagerada, uma vez que para atacar é necessário ter direitos de cyrus, que podem ser obtidos mediante a exploração de outra vulnerabilidade no cyrus-imapd.
O problema é causado por um erro ao lidar com links simbólicos no script daily-backup.sh, específico para distribuições SUSE/openSUSE. A essência da vulnerabilidade é que o script daily-backup.sh é executado com privilégios de root, mas grava em um diretório /var/lib/imap, no qual um usuário não privilegiado cyrus pode criar arquivos. O ataque consiste na criação de um link simbólico apontando para um arquivo do sistema (por exemplo, um link simbólico /var/lib/imap/mailboxes.txt que aponta para /etc/shadow). A vulnerabilidade foi corrigida na versão do pacote cyrus-imapd 3.8.4-2.1.
Fonte: opennet.ru
