公開日:2025/06/05 最終更新日:2025/06/06

JVNVU#99623024
Kea DHCPにおける複数の脆弱性(May 28, 2025)

概要

ISC(Internet Systems Consortium)が提供するKea DHCPには、複数の脆弱性が存在します。

影響を受けるシステム

  • Kea DHCP、バージョン2.4.0から2.4.1
  • Kea DHCP、バージョン2.6.0から2.6.2
  • Kea DHCP、バージョン2.7.0から2.7.8
2.4.0より前のバージョンは評価対象外です。
サポート終了済みのバージョンも影響を受ける可能性がありますが、検証はされていません。

詳細情報

ISC(Internet Systems Consortium)が提供するKea DHCPには、次の複数の脆弱性が存在します。

  • コードインジェクション(CWE-94
    • CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値 7.8
    • CVE-2025-32801
  • ファイル名やパスを外部から制御可能(CWE-73)、一時ファイルを作成するディレクトリのアクセスパーミッションが安全でない(CWE-379
    • CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H 基本値 6.1
    • CVE-2025-32802
  • ファイルのアクセスパーミッション設定が不適切(CWE-276
    • CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N 基本値 3.3
    • CVE-2025-32803

想定される影響

当該製品が稼働するサーバ上の非特権ユーザーによって、次のような影響を受ける可能性があります。

  • 任意のファイルをフックライブラリとしてロードさせられる(CVE-2025-32801)
  • 当該製品の設定を変更されたり任意のファイルを上書きされたりする(CVE-2025-32802)
  • 当該製品が管理するリース情報や出力するログの内容を読み取られる(CVE-2025-32803)

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。開発者は、本脆弱性を修正した次のバージョンをリリースしています。

  • Kea DHCP 2.4.2
  • Kea DHCP 2.6.3
  • Kea DHCP 2.7.9

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
図研エルミック株式会社 該当製品無し 2025/06/06

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2025/06/06
図研エルミック株式会社のベンダステータスが更新されました