Bulletin d'alerte Debian
DSA-2483-1 strongswan -- Contournement d'authentification
- Date du rapport :
- 31 mai 2012
- Paquets concernés :
- strongswan
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2012-2388.
- Plus de précisions :
-
Un problème de contournement d'authentification a été découvert par le projet Codenomicon CROSS dans strongSwan, une solution de VPN basée sur IPsec. Quand RSA est utilisé, une vérification manquante dans le greffon gmp pourrait permettre à un attaquant présentant une signature contrefaite de s'authentifier avec succès à un répondeur strongSwan.
La configuration par défaut dans Debian n'utilise pas le greffon gmp mais OpenSSL pour les opérations RSA. Les paquets distribués par Debian ne sont donc pas vulnérables.
Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 4.4.1-5.2.
Pour la distribution testing (Wheezy), ce problème a été corrigé dans la version 4.5.2-1.4.
Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 4.5.2-1.4.
Nous vous recommandons de mettre à jour vos paquets strongswan.