V konfiguráciách servera DHCP Kea, ktorý vyvíja konsorcium ISC ako náhradu za klasický ISC DHCP, boli zistené zraniteľnosti, ktoré v niektorých situáciách umožňujú lokálnemu užívateľovi spustiť kód s právami roota alebo prepísať akýkoľvek súbor v systéme:
- CVE-2025-32801 — umožňuje lokálnemu užívateľovi získať root privilégia v systémoch, kde je Kea spustená pod užívateľom root, alebo získať plnú kontrolu nad serverom Kea v systémoch, kde je Kea spustená pod užívateľom s obmedzenými právami. Útok sa vykonáva prostredníctvom prístupu k REST API, ktoré poskytuje služba kea-ctrl-agent a ktoré predvolene prijíma požiadavky cez localhost:8000. V drvivej väčšine konfigurácií je REST API dostupné pre všetkých lokálnych užívateľov systému bez overenia.
Exploatácia prebieha prostredníctvom odoslania príkazu set-config, ktorý umožňuje spravovať nastavenia všetkých služieb Kea. Medzi inými môže byť príkaz použitý na zmenu parametra „hooks-libraries“, ktorý ovplyvňuje načítanie ďalších knižníc-spracovateľov. Útočník môže dosiahnuť vykonanie svojho kódu v kontexte služieb Kea prostredníctvom náhrady svojej knižnice, funkcia s atribútom „constructor“ z ktorej bude volaná pri otvorení knižnice funkciou dlopen(). curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-set", "arguments": { "Control-agent": {"hooks-libraries": [{"library": "/home/someuser/libexploit.so"}] }}}' \ localhost:8000
- CVE-2025-32802 — zraniteľnosť umožňuje použiť príkaz config-write v REST API na prepísanie akéhokoľvek súboru v systéme, ak to umožňujú práva užívateľa, pod ktorým sa Kea vykonáva. Útočník môže kontrolovať zapisovaný obsah, ale údaje sa zapisujú vo formáte JSON a musia obsahovať správne nastavenia Kea. Napriek tomu nie je vylúčené, že to môže byť dostatočné na spustenie príkazov s právami roota prostredníctvom manipulácie so súbormi v adresári /etc/profile.d. curl -X POST -H "Content-Type: application/json" \ -d '{ "command": "config-write", "arguments": { "filename": "/etc/evil.conf" } }' \ localhost:8000
Samostatne sa spomína niekoľko scenárov použitia príkazu config-write na zmenu nastavení Kea. Napríklad je možné presmerovať logy do akéhokoľvek miesta v súborovom systéme, usporiadať spoofing riadiacich UNIX socketov služieb alebo zablokovať fungovanie Kea.
- CVE-2025-32803 — logy (\/var\/log\/kea*.log) a taktiež súbory \/var\/lib\/kea\/*.cvs obsahujúce informácie o viazaní IP adresy (DHCP lease) a sprievodné údaje sú všetkým dostupné na čítanie.
Spustenie Kea s právami root je bežné v distribúciách Arch Linux, Gentoo, openSUSE Tumbleweed (do 23. mája), FreeBSD, NetBSD (pkgsrc) a OpenBSD. V Debian, Ubuntu a Fedora sa služba spúšťala pod samostatným nepriviligovaným používateľom. V Gentoo je balík s Kea dostupný iba v unstable repozitári pre architektúru amd64. V Ubuntu, na rozdiel od iných systémov, sa služba kea-ctrl-agent spúšťala iba v prípade, že bol v nastaveniach prístup k REST API zabezpečený heslom. Informácie o publikovaní aktualizácií balíkov v distribúciách sú dostupné na stránkach: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, ALT Linux, Arch, FreeBSD, OpenBSD a NetBSD.
Ďalšou poznámkou je zraniteľnosť (CVE-2025-23394) prejavujúca sa v balíku s IMAP serverom Cyrus, ktorý poskytuje projekt openSUSE v repozitároch Tumbleweed a Factory. Zraniteľnosť umožňuje lokálnemu používateľovi zvýšiť práva z používateľa cyrus na root. Zraniteľnosti bola priradená kritická úroveň nebezpečenstva (9.8 z 10), avšak je bezdôvodne nadhodnotená, keďže na útok sú potrebné práva cyrus, ktoré je možné získať prostredníctvom využitia inej zraniteľnosti v cyrus-imapd.
Problém je spôsobený chybou pri práci so symbolickými odkazmi v skripte daily-backup.sh, špecifickom pre distribúcie SUSE/openSUSE. Podstata zraniteľnosti spočíva v tom, že skript daily-backup.sh sa spúšťa s právami root, ale vykonáva zápis do adresára \/var\/lib\/imap, v ktorom môžu vytvárať súbory nepriviligovaní používatelia cyrus. Útok spočíva v vytvorení symbolického odkazu, ktorý ukazuje na systémový súbor (napríklad je možné vytvoriť symbolický odkaz \/var\/lib\/imap\/mailboxes.txt, ktorý ukazuje na \/etc\/shadow). Zraniteľnosť bola odstránená vo verzii balíka cyrus-imapd 3.8.4-2.1.
Zdroj: opennet.ru
