# FreeBSD jail: escape del chroot mediante montajes nullfs (CVE-2025-15547) - **Publicado el:** 2026-01-27 - **Categoría:** Seguridad - **Página original:** https://linuxgratis.com/articulos/cve-2025-15547-freebsd-sa-26-02-jail-nullfs-escape El aviso FreeBSD-SA-26:02.jail describe cómo el usuario root de una jail con allow.mount.nullfs puede escapar de su raíz de archivos y acceder al sistema del host. Detalles, sistemas afectados y cómo parchear. --- El 27 de enero de 2026 el equipo de seguridad de FreeBSD publicó el aviso **FreeBSD-SA-26:02.jail**, que corrige la vulnerabilidad **CVE-2025-15547**. El fallo afecta al subsistema de *jails*, uno de los mecanismos de aislamiento más característicos de FreeBSD, y deja que un atacante con privilegios dentro de una jail rompa el confinamiento de su sistema de archivos y llegue al host. ## Qué es la vulnerabilidad Las *jails* de FreeBSD son entornos aislados que confinan los procesos a una porción concreta del sistema de archivos mediante un mecanismo basado en `chroot`. Si una jail se configura con la opción **`allow.mount.nullfs`** habilitada, su root puede crear montajes con `nullfs(4)`, un sistema de archivos de paso que permite "remontar" un directorio en otra ubicación. El problema está en una limitación de la lógica de *path lookup* (resolución de rutas) del kernel. Al combinar un montaje nullfs con esa limitación, el usuario root **dentro** de la jail consigue escapar de la raíz de archivos de la jail. El propio aviso lo describe así: «en una jail configurada para permitir montajes nullfs(4) desde dentro, el usuario root enjaulado puede escapar de la raíz del sistema de archivos de la jail». ## A quién afecta Las versiones afectadas son **FreeBSD 13.5 y 14.3**. Para que el fallo sea explotable hace falta una condición: que la jail tenga la opción `allow.mount.nullfs` activada. Las jails que no permiten este tipo de montajes **no son vulnerables**. Eso acota bastante el riesgo real. Muchas configuraciones de jail no habilitan montajes nullfs desde dentro. Las plataformas de hosting, los entornos de contenedores ligeros y los despliegues que delegan capacidades de montaje a las jails sí pueden quedar expuestos. ## Gravedad El aviso califica el fallo de severidad **alta**. No hablamos de un acceso remoto sin autenticación: el atacante necesita privilegios de root **dentro** de la jail. Aun así el impacto es serio. La víctima pierde la garantía de aislamiento, porque el atacante accede al sistema de archivos completo del host o de la jail padre, y eso puede acabar en compromiso total de la máquina anfitriona y del resto de jails que conviven en ella. El aviso no publica una puntuación CVSS. ## Mitigación y parche FreeBSD ofrece dos vías de corrección: 1. **Parche binario.** En las plataformas amd64, arm64 e i386 basta con ejecutar `freebsd-update fetch` y `freebsd-update install` y reiniciar el sistema para aplicar el kernel corregido. 2. **Parche desde código fuente.** Descarga el parche desde el servidor de seguridad de FreeBSD, verifica la firma PGP, aplícalo con `patch`, recompila el kernel y reinicia. No hay un *workaround* que conserve la funcionalidad. La única alternativa a parchear es **deshabilitar `allow.mount.nullfs`** en las jails afectadas, lo que cierra la vía de explotación a cambio de perder la capacidad de montar nullfs desde dentro. Los commits de corrección son `f0fbaa71a5a2` y `e87a5dd8054a` para la rama 13, y `53963866f708` y `193ae464aa36` para la rama 14. Si administras FreeBSD, mira la ficha del sistema en [/freebsd](/freebsd) para conocer las versiones soportadas y su ciclo de vida, y da prioridad a la actualización en cualquier host que ofrezca jails con capacidad de montaje a terceros. ## Fuente - Aviso oficial: [FreeBSD-SA-26:02.jail](https://www.freebsd.org/security/advisories/FreeBSD-SA-26:02.jail.asc) - Detalle del CVE: [CVE-2025-15547 en NVD](https://nvd.nist.gov/vuln/detail/CVE-2025-15547)