Рекомендация Debian по безопасности

DSA-2893-1 openswan -- обновление безопасности

Дата сообщения:
31.03.2014
Затронутые пакеты:
openswan
Уязвим:
Да
Ссылки на базы данных по безопасности:
В каталоге Mitre CVE: CVE-2013-2053, CVE-2013-6466.
Более подробная информация:

В Openswan, реализации IKE/IPsec для Linux, были исправлены две уязвимости.

  • CVE-2013-2053

    Во время аудита Libreswan (который имеет общий код с Openswan), Флориан Ваймер обнаружил удалённое переполнение буфера в функции atodn(). Данная уязвимость может использоваться в случае, если включена возможность Opportunistic Encryption (OE), и атакующий контролирует запись PTR IP-адреса удалённой подсети. Для использования данной уязвимости авторизация не нужна.

  • CVE-2013-6466

    Юстина Мелинте обнаружила уязвимость в Libreswan, которая присутствует также и в коде Openswan. С помощью специально сформированных пакетов IKEv2 атакующий может вызвать разыменование непоступившего содержимого пакета IKEv2 в службе pluto, что приводит к аварийному завершению работы службы. Для использования данной уязвимости авторизация не нужна.

Изначально заплаты были предназначены для исправления данных уязвимостей в Libreswan, они были адаптированы под кодовую базу Openswan Полом Вутерсом из Libreswan Project.

Поскольку пакет Openswan более не сопровождается в дистрибутиве Debian и недоступен в тестируемом и нестабильном выпусках, пользователям IKE/IPsec рекомендуется перейти на поддерживаемую реализацию, например, на strongSwan.

В предыдущем стабильном выпуске (squeeze) эти проблемы были исправлены в версии 2.6.28+dfsg-5+squeeze2.

В стабильном выпуске (wheezy) эти проблемы были исправлены в версии 2.6.37-3.1.

Рекомендуется обновить пакеты openswan.