Säkerhetsbulletin från Debian

DSA-4229-1 strongswan -- säkerhetsuppdatering

Rapporterat den:
2018-06-14
Berörda paket:
strongswan
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Mitres CVE-förteckning: CVE-2018-5388, CVE-2018-10811.
Ytterligare information:

Två sårbarheter har upptäckts i strongSwan, en IKE/IPsec-uppsättning program.

  • CVE-2018-5388

    Insticksmodulen stroke verifierade inte meddelandelängd vid läsning från dess kontrollsocket. Denna sårbarhet kunde leda till överbelastning. På Debian krävs rooträttigheter för skrivåtkomst till socketen med standardinställningarna.

  • CVE-2018-10811

    En saknad variabelinitiering i IKEv2-nyckelderivering kunde leda till överbelastning (krasch av charon-IKE-demonen) om openssl-insticksmodulen används i FIPS-läge och den förhandlade PRF är HMAC-MD5.

För den gamla stabila utgåvan (Jessie) har dessa problem rättats i version 5.2.1-6+deb8u6.

För den stabila utgåvan (Stretch) har dessa problem rättats i version 5.5.1-4+deb9u2.

Vi rekommenderar att ni uppgraderar era strongswan-paket.

För detaljerad säkerhetsstatus om strongswan vänligen se dess säkerhetsspårare på https://security-tracker.debian.org/tracker/strongswan