Informations de sécurité / 2018 / Informations sur la sécurité -- DSA-4229-1 strongswan

Bulletin d'alerte Debian

DSA-4229-1 strongswan -- Mise à jour de sécurité

Date du rapport :

14 juin 2018

Paquets concernés :

strongswan

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2018-5388, CVE-2018-10811.

Plus de précisions :

Deux vulnérabilités ont été découvertes dans strongSwan, une suite IKE/IPsec.

• CVE-2018-5388

  Le greffon stroke ne vérifiait pas la longueur de message lors d'une lecture à partir de son socket de contrôle. Cette vulnérabilité pourrait conduire à un déni de service. Avec Debian, l'accès en écriture au socket réclame les droits de superutilisateur dans la configuration par défaut.

• CVE-2018-10811

  Une absence d'initialisation de variable dans la dérivation de clé IKEv2 pourrait conduire à un déni de service (plantage du démon charon IKE) si le greffon openssl est utilisé en mode FIPS et si le PRF négocié est HMAC-MD5.

Pour la distribution oldstable (Jessie), ces problèmes ont été corrigés dans la version 5.2.1-6+deb8u6.

Pour la distribution stable (Stretch), ces problèmes ont été corrigés dans la version 5.5.1-4+deb9u2.

Nous vous recommandons de mettre à jour vos paquets strongswan.

Pour disposer d'un état détaillé sur la sécurité de strongswan, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/strongswan.