Bulletin d'alerte Debian

DSA-2903-1 strongswan -- Mise à jour de sécurité

Date du rapport :

14 avril 2014

Paquets concernés :

strongswan

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2014-2338.

Plus de précisions :

Une vulnérabilité de contournement d'authentification a été découverte dans charon, le démon traitant IKEv2 dans strongSwan, une suite IKE/IPsec. L'automate traitant l'association de sécurité (IKE_SA) traitait certaines transitions d'état de façon incorrecte.

Un attaquant peut déclencher la vulnérabilité en changeant la clé (rekeying) d'une IKE_SA non établie lors de l'initialisation elle-même. Cela forcera l'état IKE_SA à établi sans qu'il soit nécessaire de fournir une identification valide.

Les installations vulnérables comprennent celles qui lancent activement les IKE_SA IKEv2 (comme clients ou utilisateurs nomades) mais aussi lors de la réauthentification (qui peut être à l'initiative du répondant). Les installations utilisant IKEv1 (démon pluto dans strongSwan 4 et précédents et le code IKEv1 dans charon 5.x) ne sont pas affectées.

Pour la distribution oldstable (Squeeze), ce problème a été corrigé dans la version 4.4.1-5.5.

Pour la distribution stable (Wheezy), ce problème a été corrigé dans la version 4.5.2-1.5+deb7u3.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 5.1.2-4.

Nous vous recommandons de mettre à jour vos paquets strongswan.