Рекомендация Debian по безопасности

DLA-345-1 strongswan -- обновление безопасности LTS

Дата сообщения:
19.11.2015
Затронутые пакеты:
strongswan
Уязвим:
Да
Ссылки на базы данных по безопасности:
В каталоге Mitre CVE: CVE-2015-8023.
Более подробная информация:

Тобиас Бруннер обнаружил возможность обхода аутентификации в strongSwan, наборе IKE/IPsec.

Из-за недостаточной проверки локального состояния серверная реализация протокола EAP-MSCHAPv2 в дополнении eap-mschapv2 может успешно завершить аутентификацию без предоставления данных действующей учётной записи.

Подобные атаки можно распознать, просматривая журналы на сервере. В момент аутентификации клиента можно видеть следующее сообщение:

EAP method EAP_MSCHAPV2 succeeded, no MSK established