Foi identificada uma vulnerabilidade no processo em segundo plano rtsold e na ferramenta rtsol utilizada no FreeBSD (CVE-2025-14558), que permite a execução remota de código com privilégios de root através do envio de um pacote especialmente formatado com um anúncio de roteador IPv6. As mensagens RA (Router Advertisement), através das quais a vulnerabilidade é explorada, não são roteadas e devem ser descartadas pelos roteadores. Para realizar o ataque, o invasor deve ter a capacidade de enviar um pacote especialmente formatado de um sistema que esteja na mesma segmentação de rede que o host vulnerável.
O processo em segundo plano rtsold é utilizado em hosts para a autoconfiguração de conexão via IPv6 usando o mecanismo SLAAC (Configuração Automática de Endereço Stateless). O host envia uma mensagem ICMPv6 RS (Router Solicitation) em modo multicast e aguarda a recepção de mensagens RA (Router Advertisement) de roteadores, contendo informações sobre prefixos de rede e parâmetros de configuração. A ferramenta rtsol implementa funcionalidade semelhante sem iniciar um processo em segundo plano.
A vulnerabilidade ocorre porque rtsold passa a lista de "domain search" especificada na mensagem RA para a ferramenta resolvconf sem verificar a validade e sem escapar caracteres especiais. A ferramenta resolvconf é um script shell que não valida os dados de entrada. Para explorar a vulnerabilidade, basta enviar um pacote RA com um nome de domínio, que contenha caracteres especiais, como "test`id`test. A vulnerabilidade foi corrigida nas atualizações do FreeBSD 15.0-RELEASE-p1, 14.3-RELEASE-p7, 13.5-RELEASE-p8.
Além disso, nas atualizações do FreeBSD 14.3-RELEASE-p7 e 13.5-RELEASE-p8 (a ramificação 15.x não é afetada), foi corrigida uma vulnerabilidade (CVE-2025-14769) no filtro de pacotes ipfw, permitindo a geração de uma negação de serviço através do envio de pacotes especialmente formatados. A vulnerabilidade se manifesta apenas quando a diretiva "tcp-setmss" é usada nas regras ipfw. O problema ocorre porque o manipulador tcp-setmss, em certas circunstâncias, pode liberar a memória que armazena os dados do pacote recebido e retornar um erro. Este erro foi ignorado pelo motor de processamento de regras, fazendo com que a regra subsequente pudesse permitir a passagem do pacote, cujo buffer de dados já foi liberado, resultando na desreferenciação de um ponteiro nulo.
Fonte: opennet.ru
