Säkerhetsinformation / 2017 / Säkerhetsinformation -- DSA-3866-1 strongswan

Säkerhetsbulletin från Debian

DSA-3866-1 strongswan -- säkerhetsuppdatering

Rapporterat den:

2017-05-30

Berörda paket:

strongswan

Sårbara:

Ja

Referenser i säkerhetsdatabaser:

I Mitres CVE-förteckning: CVE-2017-9022, CVE-2017-9023.

Ytterligare information:

Två överbelastningssårbarheter har upptäckts i strongSwan, en IKE/IPsec-uppsättning av program, som använder Google's OSS-Fuzz fuzzing project.

• CVE-2017-9022

  RSA publika nycklar som skickas till gmp-insticksmodulen valideras inte tillräckligt innan man försöker signaturverifiering, så att ogiltig indata kan leda till flyttalsundantag och processkrasch. Ett certifikat med en tillräckligt preparerad publik nyckel som skickats av en jämlike kunde användas för ett överbelastningsangrepp.

• CVE-2017-9023

  ASN.1 CHOICE-typer hanteras inte korrekt av ASN.1-tolken vid tolkning av X.509-certifikat med tilläggsmoduler som använder sådana typer. Detta kunde leda till oändliga loopar av tråden som tolkar ett speciellt skapat certifikat.

En rättning för ett byggfel har inkluderats utöver detta i revision 5.2.1-6+deb8u4 av paketet strongSwan.

För den stabila utgåvan (Jessie) har dessa problem rättats i version 5.2.1-6+deb8u3.

För den kommande stabila utgåvan (Stretch) har dessa problem rättats i version 5.5.1-4

För den instabila distributionen (Sid) har dessa problem rättats i version 5.5.1-4.

Vi rekommenderar att ni uppgraderar era strongswan-paket.