En sårbarhet har upptäckts i den bakgrundsprocess som rtsold och verktyget rtsol använder i FreeBSD (CVE-2025-14558), vilket möjliggör fjärrkörning av kod med root-rättigheter genom att skicka ett specifikt formaterat paket med en IPv6-routerannonsering. RA-meddelanden (Router Advertisement), som sårbarheten exploaterar, routas inte och bör avvisas av routrar. För att genomföra en attack måste angriparen kunna skicka ett specialformat paket från ett system som är i samma nätverkssegment som den sårbara värden.
Bakgrundsprocessen rtsold används på värdar för automatisk konfiguration av anslutningar via IPv6 med hjälp av SLAAC-mekanismen (StateLess Address AutoConfiguration). Värden skickar ett ICMPv6-meddelande RS (Router Solicitation) i multicast-läge och väntar på svarande RA-meddelanden (Router Advertisement) från routrar, som innehåller information om nätverksprefix och konfigurationsalternativ. Verktyget rtsol implementerar liknande funktionalitet utan att starta en bakgrundsprocess.
Sårbarheten uppstår eftersom rtsold vidarebefordrar den angivna listan "domain search" i RA-meddelandet till verktyget resolvconf utan att kontrollera giltigheten och utan att maskera specialtecken. Verktyget resolvconf är ett shell-script som inte validerar indata. För att utnyttja sårbarheten räcker det att skicka ett RA-paket med namnet domän, som innehåller specialtecken, som till exempel "test`id`test. Sårbarheten har åtgärdats i uppdateringarna av FreeBSD 15.0-RELEASE-p1, 14.3-RELEASE-p7, 13.5-RELEASE-p8.
Dessutom har sårbarheten (CVE-2025-14769) i paketfiltren ipfw åtgärdats i uppdateringarna av FreeBSD 14.3-RELEASE-p7 och 13.5-RELEASE-p8 (version 15.x påverkas inte), vilket tillåter en överbelastning av servern genom att skicka specifikt formaterade paket. Sårbarheten yttrar sig endast vid användning av direktivet "tcp-setmss" i ipfw-regler. Problemet uppstår eftersom tcp-setmss-hanteraren under vissa omständigheter kan frigöra minnet där de tagna paketdata lagras, vilket resulterar i ett fel. Det angivna felet ignorerades av regelsystemets motor, vilket gjorde att det följande regeln kunde tillåta genomloppet av ett paket vars buffert med data redan hade frigjorts, vilket leder till avreferensiering av en nullpekare.
Källa: opennet.ru
