Bulletin d'alerte Debian

DSA-4229-1 strongswan -- Mise à jour de sécurité

Date du rapport :
14 juin 2018
Paquets concernés :
strongswan
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2018-5388, CVE-2018-10811.
Plus de précisions :

Deux vulnérabilités ont été découvertes dans strongSwan, une suite IKE/IPsec.

  • CVE-2018-5388

    Le greffon stroke ne vérifiait pas la longueur de message lors d'une lecture à partir de son socket de contrôle. Cette vulnérabilité pourrait conduire à un déni de service. Avec Debian, l'accès en écriture au socket réclame les droits de superutilisateur dans la configuration par défaut.

  • CVE-2018-10811

    Une absence d'initialisation de variable dans la dérivation de clé IKEv2 pourrait conduire à un déni de service (plantage du démon charon IKE) si le greffon openssl est utilisé en mode FIPS et si le PRF négocié est HMAC-MD5.

Pour la distribution oldstable (Jessie), ces problèmes ont été corrigés dans la version 5.2.1-6+deb8u6.

Pour la distribution stable (Stretch), ces problèmes ont été corrigés dans la version 5.5.1-4+deb9u2.

Nous vous recommandons de mettre à jour vos paquets strongswan.

Pour disposer d'un état détaillé sur la sécurité de strongswan, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/strongswan.