Debians sikkerhedsbulletin

DSA-4229-1 strongswan -- sikkerhedsopdatering

Rapporteret den:
14. jun 2018
Berørte pakker:
strongswan
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Mitres CVE-ordbog: CVE-2018-5388, CVE-2018-10811.
Yderligere oplysninger:

To sårbarheder blev opdaget i strongSwan, en IKE-/IPsec-programsamling.

  • CVE-2018-5388

    Stroke-plugin'en kontrollerede ikke meddelelseslængden, når den læste fra sin kontrolsocket. Sårbarheden kunne føre til lammelsesangreb. I Debian kræver skriveadgang til socket'en rodrettigheder i standardopsætningen..

  • CVE-2018-10811

    En manglende variabelinitialisering i IKEv2-nøglederivation kunne føre til et lammelsesangreb (nedbrud af IKE-dæmonen charon), hvis openssl-plugin'en anvendes i FIPS-tilstand, og den forhandlede PRF er HMAC-MD5.

I den gamle stabile distribution (jessie), er disse problemer rettet i version 5.2.1-6+deb8u6.

I den stabile distribution (stretch), er disse problemer rettet i version 5.5.1-4+deb9u2.

Vi anbefaler at du opgraderer dine strongswan-pakker.

For detaljeret sikkerhedsstatus vedrørende strongswan, se dens sikkerhedssporingsside på: https://security-tracker.debian.org/tracker/strongswan