JVNVU#99623024
Kea DHCPにおける複数の脆弱性（May 28, 2025）

ISC（Internet Systems Consortium）が提供するKea DHCPには、複数の脆弱性が存在します。

• Kea DHCP、バージョン2.4.0から2.4.1
• Kea DHCP、バージョン2.6.0から2.6.2
• Kea DHCP、バージョン2.7.0から2.7.8

ISC（Internet Systems Consortium）が提供するKea DHCPには、次の複数の脆弱性が存在します。

• コードインジェクション（CWE-94）
  • CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値 7.8
  • CVE-2025-32801
• ファイル名やパスを外部から制御可能（CWE-73）、一時ファイルを作成するディレクトリのアクセスパーミッションが安全でない（CWE-379）
  • CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H 基本値 6.1
  • CVE-2025-32802
• ファイルのアクセスパーミッション設定が不適切（CWE-276）
  • CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N 基本値 3.3
  • CVE-2025-32803

当該製品が稼働するサーバ上の非特権ユーザーによって、次のような影響を受ける可能性があります。

• 任意のファイルをフックライブラリとしてロードさせられる（CVE-2025-32801）
• 当該製品の設定を変更されたり任意のファイルを上書きされたりする（CVE-2025-32802）
• 当該製品が管理するリース情報や出力するログの内容を読み取られる（CVE-2025-32803）

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。開発者は、本脆弱性を修正した次のバージョンをリリースしています。

• Kea DHCP 2.4.2
• Kea DHCP 2.6.3
• Kea DHCP 2.7.9