RHEL 7：libreswan (RHSA-2015:1979)
medium Nessus Plugin ID 86744
語系：
概要
遠端 Red Hat 主機缺少一個或多個安全性更新。說明
現已提供適用於 Red Hat Enterprise Linux 7 的更新版 libreswan 套件，可修正一個安全性問題、數個錯誤，並新增各種增強功能。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。
Libreswan 是適用於 Linux 的 IPsec & IKE 實作。IPsec 是網際網路通訊協定安全性，並使用強式密碼編譯提供驗證與加密服務。這些服務可讓您透過未受信任的網路 (例如虛擬私人網路 (VPN)) 構建安全通道。
在 Libreswan 的 IKE 程序用於處理 IKE KE 承載的方法中發現一個瑕疵。遠端攻擊者可傳送特製的 IKE 承載，其中包含 g^x=0 的 KE 承載，一旦執行處理時，就可能會導致拒絕服務 (程序損毀)。(CVE-2015-3240)
此問題是由 Red Hat 的 Paul Wouters 所發現。
注意：從舊版 Libreswan 升級時，系統會將 /etc/ipsec.d/cacerts/ 目錄中的現有 CA 憑證，以及 /etc/ipsec.d/crls/ 目錄中的現有憑證撤銷清單 (CRL) 檔案自動匯入 NSS 資料庫。完成後，Libreswan 就不會再使用這些目錄。若要安裝新的 CA 憑證或新 CRLS，必須使用 certutil 和 crlutil 命令將這些項目直接匯入 Network Security Services (NSS) 資料庫。
此更新也新增了下列增強功能：
* 此更新新增對 RFC 7383 IKEv2 Fragmentation、RFC 7619 Auth Null 和 ID Null、INVALID_KE 重新交涉的支援、透過 NSS 的 CRL 和 OCSP 支援、適用於 IKEv2 的 AES_CTR 和 AES_GCM 支援，以及 FIPS 合規性的 CAVS 測試。
此外，此更新會強制在 FIPS 模式中執行 FIPS 演算法限制，並且在套件構建過程中，根據 FIPS 合規性執行 Composite Application Validation System (CAVS) 測試。全新密碼編譯演算法驗證程式 (CAVP) 二進位可供隨時用於重新執行 CAVS 測試。無論是否處於 FIPS 模式，pluto 程序都會針對不同演算法執行 RFC 測試向量。
此外，現於所有架構上編譯時，將啟用‘-Werror’ GCC 選項，其會將所有警告轉為錯誤，進而提升安全性防護。(BZ#1263346)
* 此更新還修正了數個記憶體洩漏，並且引入次秒封包重新傳送選項。(BZ#1268773)
* 此更新改善了從 Openswan 移轉至 Libreswan 的支援功能。
具體而言，現已支援所有使用不含後置詞之時間值的 Openswan 選項，並且加入數個新的關鍵字，可供用於 /etc/ipsec.conf 檔案。請參閱相關手冊頁，進一步瞭解詳細資料。(BZ#1268775)
* 透過此更新，將可取代透過 'loopback=' 選項執行的回送支援。(BZ#1270673)
建議所有 Libreswan 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。
解決方案
更新受影響的 libreswan 和/或 libreswan-debuginfo 套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 86744
檔案名稱: redhat-RHSA-2015-1979.nasl
版本: 2.13
類型: local
代理程式: unix
已發布: 2015/11/5
已更新: 2019/10/24
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.6
CVSS v2
風險因素: Medium
基本分數: 4.3
時間分數: 3.2
媒介: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:P
弱點資訊
CPE: p-cpe:/a:redhat:enterprise_linux:libreswan, p-cpe:/a:redhat:enterprise_linux:libreswan-debuginfo, cpe:/o:redhat:enterprise_linux:7, cpe:/o:redhat:enterprise_linux:7.1, cpe:/o:redhat:enterprise_linux:7.2, cpe:/o:redhat:enterprise_linux:7.3, cpe:/o:redhat:enterprise_linux:7.4, cpe:/o:redhat:enterprise_linux:7.5, cpe:/o:redhat:enterprise_linux:7.6, cpe:/o:redhat:enterprise_linux:7.7
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2015/11/3
弱點發布日期: 2015/11/9
參考資訊
CVE: CVE-2015-3240
RHSA: 2015:1979