Bulletin d'alerte Debian

DSA-2665-1 strongswan -- Contournement d'authentication

Date du rapport :
30 avril 2013
Paquets concernés :
strongswan
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2013-2944.
Plus de précisions :

Kevin Wojtysiak a découvert une vulnérabilité dans strongSwan, une solution de réseau privé virtuel (VPN) basée sur IPsec.

Quand le module OpenSSL est utilisé pour une authentification basée sur ECDSA, une signature vide, nulle ou autrement invalide est traitée comme si elle était légitime. Un attaquant pourrait utiliser une signature contrefaite pour s'authentifier comme un utilisateur légitime et avoir accès au VPN et à tout ce qu'il protège.

Même si ce problème ressemble à CVE-2012-2388 (un contournement d'authentification basé sur les signatures RSA), il n'y a pas de rapport.

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 4.4.1-5.3.

Pour la distribution testing (Wheezy), ce problème a été corrigé dans la version 4.5.2-1.5+deb7u1.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 4.6.4-7.

Nous vous recommandons de mettre à jour vos paquets strongswan.