Sårbarheter i paket med Kea DHCP och cyrus-imapd som möjliggör höjning av privilegier i systemet

I de konfigurationer av DHCP-servern Kea, som används av olika distributioner och utvecklas av konsortiet ISC som en ersättning för den klassiska ISC DHCP, har sårbarheter upptäckts som i vissa situationer möjliggör för en lokal användare att köra kod med root-behörighet eller skriva över en valfri fil i systemet:

• CVE-2025-32801 - möjliggör för en lokal användare att få root-behörigheter i system där Kea körs som användare root, eller att få full kontroll över Kea-servern i system som kör Kea under en användare med begränsade privilegier. Attacken utförs genom att anropa REST API:et som tillhandahålls av tjänsten kea-ctrl-agent, som som standard accepterar förfrågningar via localhost:8000. I de flesta konfigurationer är REST API tillgängligt för alla lokala användare i systemet utan autentisering.

  Exploatering sker genom att skicka kommandot set-config, vilket möjliggör hantering av inställningarna för alla Kea-tjänster. Bland annat kan kommandot användas för att ändra parametern "hooks-libraries", som påverkar lastningen av ytterligare hanterarbibliotek. En angripare kan få sitt kod att köras i kontexten av Kea-tjänsterna genom att ersätta sitt bibliotek, vars funktion med attributet "constructor" kommer att kallas när biblioteket öppnas av funktionen dlopen(). curl -X POST -H "Content-Type: application/json" \ -d ‘{ "command": "config-set", "arguments": { "Control-agent": {"hooks-libraries": [{"library": "/home/someuser/libexploit.so"}] }}}’ \ localhost:8000

• CVE-2025-32802 - sårbarhet ger möjlighet att använda kommandot config-write i REST API för att skriva över vilken fil som helst i systemet, beroende på rättigheterna för användaren under vilken Kea körs. Angriparen kan kontrollera det skrivna innehållet, men datan skrivs i JSON-format och måste inkludera korrekta inställningar för Kea. Det utesluts dock inte att detta kan vara tillräckligt för att köra kommandon med root-behörighet genom manipulering av filer i katalogen /etc/profile.d. curl -X POST -H "Content-Type: application/json" \ -d ‘{ "command": "config-write", "arguments": { "filename": "/etc/evil.conf" } }’ \ localhost:8000

  Flera användningsscenarier för kommandot config-write nämns för att förändra inställningarna i Kea. Till exempel kan loggfiler omdirigeras till en godtycklig plats i filsystemet, övervaka spoofing av UNIX-socket-tjänster eller blockera Keas funktion.
• CVE-2025-32803 - loggar (/var/log/kea*.log) samt filer /var/lib/kea/*.cvs som innehåller information om bindningar IP-adresser (DHCP-lägen) och relaterad data är tillgängliga för allmänheten för läsning.

Att köra Kea med root-rättigheter praktiseras i distributioner som Arch Linux, Gentoo, openSUSE Tumbleweed (fram till den 23 maj), FreeBSD, NetBSD (pkgsrc) och OpenBSD. I Debian, Ubuntu och Fedora körs tjänsten under en separat icke-privilegierad användare. I Gentoo är paketet med Kea endast tillgängligt i unstable-repositoriet för arkitekturen amd64. I Ubuntu, till skillnad från andra system, kördes tjänsten kea-ctrl-agent endast om det specificerades i inställningarna för åtkomst till REST API med ett lösenord. Uppdateringar av paketen i distributionerna kan följas på sidorna: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, ALT Linux, Arch, FreeBSD, OpenBSD och NetBSD.

En ytterligare sårbarhet (CVE-2025-23394) kan nämnas, som uppstår i paketet för IMAP-servern Cyrus, levererat av openSUSE-projektet i repositorierna Tumbleweed och Factory. Sårbarheten ger en lokal användare möjlighet att höja sina privilegier från användaren cyrus till root. Sårbarheten har tilldelats en kritisk risknivå (9,8 av 10), men den är ogrundat hög eftersom attacken kräver att man har cyrus-rättigheter, vilka kan erhållas genom att utnyttja en annan sårbarhet i cyrus-imapd.

Problemet orsakas av ett fel vid hantering av symboliska länkar i skriptet daily-backup.sh, specifikt för SUSE/openSUSE-distributioner. Kärnan i sårbarheten är att skriptet daily-backup.sh körs med root-rättigheter men skriver till katalogen /var/lib/imap, där en icke-privilegierad användare cyrus kan skapa filer. Attacken innebär att man skapar en symbolisk länk som pekar på en systemfil (till exempel kan man skapa en symbolisk länk /var/lib/imap/mailboxes.txt som pekar på /etc/shadow). Sårbarheten har åtgärdats i versionen av paketet cyrus-imapd 3.8.4-2.1.

Källa: opennet.ru