Eine kritische Schwachstelle in FreeBSD ermöglicht es Angreifern, aus Jail-Umgebungen auszubrechen und auf das Dateisystem des Hosts zuzugreifen.
Die Schwachstelle schwächt einen zentralen Isolationsmechanismus und kann unter bestimmten Konfigurationen zu einem vollständigen Zusammenbruch der Dateisystemtrennung führen.
Diese Schwachstelle „… ermöglicht vollständigen Dateisystemzugriff für einen in einem Jail laufenden Prozess und hebt chroot auf“, sagten die Forscher in der Sicherheitswarnung.
In CVE-2025-15576
FreeBSD-Jails bieten Virtualisierung auf Betriebssystemebene, indem sie Prozesse auf eingeschränkte Umgebungen mit begrenzter Sichtbarkeit des Hostsystems beschränken.
Sie werden häufig in Hosting-Umgebungen, Multi-Tenant-Bereitstellungen und sicherheitskritischen Workloads eingesetzt, in denen eine strikte Isolierung zwischen Anwendungen erforderlich ist.
Da Jails auf vom Kernel durchgesetzten Dateisystemgrenzen beruhen, wirkt sich jede Schwachstelle in dieser Durchsetzung unmittelbar auf zentrale Vertrauensannahmen innerhalb des Betriebssystems aus.
CVE-2025-15576 betrifft FreeBSD 14.3 und 13.5; eine Umgehungslösung ist nicht verfügbar.
Die Schwachstelle wird als Ausbruch aus einem Jail oder chroot über den Austausch von Dateideskriptoren zwischen Jails klassifiziert.
Sie entsteht durch die Handhabung von Verzeichnis-Dateideskriptoren, wenn zwei benachbarte Jails ein Verzeichnis über einen nullfs-Mount gemeinsam nutzen und über einen Unix-Domain-Socket kommunizieren.
Unter normalen Bedingungen validiert der FreeBSD-Kernel jeden Schritt einer Dateisystem-Namensauflösung, um sicherzustellen, dass ein Prozess nicht außerhalb des ihm zugewiesenen Jail-Stammverzeichnisses navigieren kann.
In dieser spezifischen Konfiguration können kooperierende Prozesse in benachbarten Jails jedoch Verzeichnis-Dateideskriptoren über einen Unix-Domain-Socket austauschen.
Aufgrund einer Schwachstelle bei der Durchsetzung der Grenzen beendet der Kernel die Prüfungen beim Navigieren nicht ordnungsgemäß, wenn diese Deskriptoren zwischen Jails weitergegeben werden.
Auswirkungen und Risiken für Jail-basierte Umgebungen
Dadurch kann ein in einem Jail laufender Prozess einen Dateideskriptor erhalten, der auf ein Verzeichnis außerhalb seines eingeschränkten Verzeichnisbaums verweist, und so die chroot-Grenze effektiv umgehen.
Ein Angreifer, der Prozesse in beiden Jails kontrolliert, könnte aus der Isolation ausbrechen und Zugriff auf das Root-Dateisystem des Hosts erlangen.
Dies könnte die Änderung von Systemdateien, den Zugriff auf sensible Daten oder weitere Versuche zur Rechteausweitung ermöglichen.
Obwohl die Ausnutzung eine spezifische Konfiguration erfordert – gemeinsam genutzte nullfs-Mounts und einen Unix-Socket –, sind die potenziellen Auswirkungen für Umgebungen erheblich, die zur Trennung von Workloads auf Jail-basierte Isolierung angewiesen sind.
Das FreeBSD-Projekt hat einen Patch zur Behebung des Problems veröffentlicht und zum Zeitpunkt der Veröffentlichung keine Hinweise auf eine aktive Ausnutzung in freier Wildbahn gemeldet.
Risiken in Jail-Umgebungen reduzieren
Organisationen sollten strukturiert vorgehen, um diese Schwachstelle zu beheben.
Das Einspielen von Patches ist zwar der wichtigste Abhilfeschritt, doch die Überprüfung von Jail-Konfigurationen, die Verschärfung von Zugriffskontrollen und eine verbesserte Überwachung können das Risiko weiter reduzieren.
- Patchen Sie betroffene Systeme auf die neueste Version von FreeBSD und validieren Sie die Behebung.
- Überprüfen Sie Jail-Konfigurationen, um unnötige gemeinsam genutzte nullfs-Mounts zu beseitigen, und beschränken Sie die Kommunikation zwischen Jails über Unix-Domain-Sockets.
- Verhindern Sie, dass unprivilegierte Benutzer Verzeichnis-Dateideskriptoren an Prozesse in Jails übergeben und setzen Sie innerhalb jedes Jails das Prinzip der geringsten Privilegien durch.
- Wenden Sie zusätzliche Isolationskontrollen an, etwa Richtlinien des FreeBSD-MAC-Frameworks, um die Durchsetzung der Grenzen zwischen Jails zu stärken.
- Überwachen Sie ungewöhnliche Dateisystemzugriffe, Übertragungen von Dateideskriptoren, Änderungen an Mounts oder unerwartete Aktivitäten zwischen Jails, die auf Versuche zur Umgehung von Grenzen hindeuten könnten.
- Validieren Sie sichere Host-Level- Backups und die Integrität von Systemdateien , um eine schnelle Wiederherstellung sicherzustellen, falls es zu einem Ausbruch aus einem Jail kommt.
- Testen und aktualisieren Sie Incident-Response-Pläne anhand von Planspielen, die sich auf die Eindämmung und Wiederherstellung nach einem möglichen Jail-Escape-Szenario konzentrieren.
In ihrer Gesamtheit können diese Maßnahmen dazu beitragen, den Schadensradius eines möglichen Jail-Escapes zu begrenzen und zugleich die allgemeine Widerstandsfähigkeit des Systems zu stärken.
Vertrauensgrenzen in FreeBSD wahren
Obwohl die Ausnutzung eine spezifische Konfiguration erfordert, unterstreicht CVE-2025-15576, wie wichtig starke Isolationskontrollen in Multi-Tenant- und sicherheitskritischen Umgebungen sind.
Für Organisationen, die bei der Trennung von Workloads auf FreeBSD-Jails setzen, sind zeitnahe Patches und ein diszipliniertes Konfigurationsmanagement entscheidend, um Vertrauensgrenzen auf Betriebssystemebene zu wahren.
Schwachstellen wie diese fördern eine breitere Diskussion darüber, wie Zero-Trust-Lösungen die Isolierung stärken und implizites Vertrauen in Umgebungen mit gemeinsam genutzter Infrastruktur reduzieren können.