文章总结： SUSE团队披露Foomuuri防火墙管理器因D-Bus服务缺失授权与输入验证，本地任意用户可提权改配或注入JSON破坏nftables规则，CVE-2025-67603/67858已修复，0.31版引入Polkit认证与严格校验并强化systemd，用户需立即升级。 综合评分： 92 文章分类： 漏洞分析,防火墙,本地提权,Linux安全,应急响应

Foomuuri 严重缺陷导致本地用户掌控防火墙

sec随谈

sec随谈

2026年1月9日 08:57 新加坡

SUSE安全团队发布了一份详细报告，揭露了 Foomuuri（一款流行的基于 nftables 的 Linux 防火墙管理器）中的多个漏洞，这些漏洞使得防火墙的管理界面对本地攻击者完全开放，允许未经授权的用户操纵网络区域，并可能破坏系统安全。

这一发现发生在 12 月初，当时团队正在评估 Foomuuri 是否适合纳入 openSUSE Tumbleweed 发行版。他们发现该工具的 D-Bus 服务缺乏基本的安全控制。

最明显的漏洞（编号为 CVE-2025-67603）是完全缺失客户端授权机制。Foomuuri 的 D-Bus 服务以完全 root 权限运行，但未能实现类似 Polkit 的身份验证检查，这意味着它会接受系统上任何人的命令。

报告指出： “在审查过程中，我们很快注意到 Foomuuri 的 D-Bus 服务的实现中缺乏客户端授权和输入验证。 ”

其后果立竿见影，令人担忧。由于没有任何检查机制，“任何本地用户，包括低权限服务用户帐户，甚至任何无名用户，都可以调用 D-Bus 接口并更改防火墙配置”。虽然攻击者无法重写整个规则集，但他们可以将网络接口重新分配到不同的区域，从而有效地削弱防火墙或导致拒绝服务攻击。

第二个主要缺陷，CVE-2025-67858，涉及软件处理用户输入的方式。调查显示，D-Bus 方法没有对参数进行严格审查，允许将“任意字符串”作为接口名称传递。

这种验证的缺失为更复杂的攻击打开了方便之门。“由此可能导致的一种结果是日志欺骗，因为接口名称会原封不动地传递给日志记录函数，”研究人员指出。

更重要的是，技术娴熟的攻击者有可能篡改底层配置。“本地攻击者可以通过巧妙地在接口参数中嵌入额外的 JSON 配置，来尝试大幅控制传递给 nftables 的 JSON 配置”，这可能导致防火墙规则的完整性遭到破坏。

经过协调一致的披露流程，上游开发者迅速采取行动修复漏洞。Foomuuri 0.31 版本于 2026 年 1 月 7 日发布，解决了所有已发现的问题。

此次更新引入了强大的 Polkit 身份验证机制，要求管理员授权才能更改防火墙设置。此外，它还增加了对输入参数的严格验证，并对 systemd 服务应用了诸如 ProtectSystem=full 之类的强化措施，以防止权限提升。

强烈建议使用 Foomuuri 的用户立即升级到0.31版本，以保护其系统免受这些本地威胁。

参考链接：

https://security.opensuse.org/2026/01/07/foomuuri-lack-of-dbus-authorization.html

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈《Foomuuri 严重缺陷导致本地用户掌控防火墙》