遠端 Oracle Linux 7 主機上安裝的套件受到 ELSA-2015-1979 公告中提及的弱點影響。

    - 解決：rhbz#1259208 CVE-2015-3240

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2015:1979 公告中提及的弱點影響。

    Libreswan 是適用於 Linux 的 IPsec & IKE 實作。IPsec 是網際網路通訊協定安全性，並使用高強度密碼編譯提供驗證與加密服務。這些服務可讓您透過未受信任的網路 (例如虛擬私人網路 (VPN)) 構建安全通道。

    在 Libreswan 的 IKE 程序用於處理 IKE KE 承載的方法中發現一個瑕疵。遠端攻擊者可傳送 KE 承載為 g^x=0 的特製 IKE 承載，一旦處理該承載，就會導致拒絕服務 (程序損毀)。 (CVE-2015-3240)

    此問題是由 Red Hat 的 Paul Wouters 所發現。

    注意：從舊版 Libreswan 升級時，系統會將 /etc/ipsec.d/cacerts/ 目錄中的現有 CA 憑證，以及 /etc/ipsec.d/crls/ 目錄中的現有憑證撤銷清單 (CRL) 檔案自動匯入 NSS 資料庫。完成後，Libreswan 就不會再使用這些目錄。若要安裝新的 CA 憑證或新 CRLS，必須使用 certutil 和 crlutil 命令將這些項目直接匯入 Network Security Services (NSS) 資料庫。

    此更新也新增了下列增強功能：

    * 此更新新增對 RFC 7383 IKEv2 Fragmentation、RFC 7619 Auth Null 和 ID Null、INVALID_KE 重新交涉的支援、透過 NSS 的 CRL 和 OCSP 支援、適用於 IKEv2 的 AES_CTR 和 AES_GCM 支援，以及 FIPS 合規性的 CAVS 測試。

    此外，此更新會強制在 FIPS 模式中執行 FIPS 演算法限制，並且在套件構建過程中，根據 FIPS 合規性執行 Composite Application Validation System (CAVS) 測試。全新密碼編譯演算法驗證程式 (CAVP) 二進位可供隨時用於重新執行 CAVS 測試。無論是否處於 FIPS 模式，pluto 程序都會針對不同演算法執行 RFC 測試向量。

    此外，現在在所有架構上編譯都會啟用 -Werror GCC 選項，其可將所有警告變成錯誤，藉此增強安全性。
    (BZ#1263346)

    * 此更新也可修正數個記憶體洩漏，並引入次秒封包重新傳輸選項。 (BZ#1268773)

    * 此更新改善了從 Openswan 移轉至 Libreswan 的支援功能。
    具體而言，現已支援所有使用不含後置詞之時間值的 Openswan 選項，並且加入數個新的關鍵字，可供用於 /etc/ipsec.conf 檔案。如需詳細資訊，請參閱相關手冊頁。 (BZ#1268775)

    * 透過此更新，透過 loopback= 選項的回送支援已過時。 (BZ#1270673)

    建議所有 Libreswan 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 3.15 之前的 libreswan 和 2.6.45之前的 Openswan 中的 pluto IKE 程序在使用 NSS 構建時，允許遠端攻擊者透過 中 KE 承載中的零 DH g^x 值，造成拒絕服務 (宣告失敗和程序重新啟動) IKE 封包。 (CVE-2015-3240)

請注意，Nessus 依賴供應商報告的套件存在。

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 libreswan 套件，可修正一個安全性問題、數個錯誤，並新增各種增強功能。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Libreswan 是適用於 Linux 的 IPsec & IKE 實作。IPsec 是網際網路通訊協定安全性，並使用強式密碼編譯提供驗證與加密服務。這些服務可讓您透過未受信任的網路 (例如虛擬私人網路 (VPN)) 構建安全通道。

在 Libreswan 的 IKE 程序用於處理 IKE KE 承載的方法中發現一個瑕疵。遠端攻擊者可傳送特製的 IKE 承載，其中包含 g^x=0 的 KE 承載，一旦執行處理時，就可能會導致拒絕服務 (程序損毀)。(CVE-2015-3240)

此問題是由 Red Hat 的 Paul Wouters 所發現。

注意：從舊版 Libreswan 升級時，系統會將 /etc/ipsec.d/cacerts/ 目錄中的現有 CA 憑證，以及 /etc/ipsec.d/crls/ 目錄中的現有憑證撤銷清單 (CRL) 檔案自動匯入 NSS 資料庫。完成後，Libreswan 就不會再使用這些目錄。若要安裝新的 CA 憑證或新 CRLS，必須使用 certutil 和 crlutil 命令將這些項目直接匯入 Network Security Services (NSS) 資料庫。

此更新也新增了下列增強功能：

* 此更新新增對 RFC 7383 IKEv2 Fragmentation、RFC 7619 Auth Null 和 ID Null、INVALID_KE 重新交涉的支援、透過 NSS 的 CRL 和 OCSP 支援、適用於 IKEv2 的 AES_CTR 和 AES_GCM 支援，以及 FIPS 合規性的 CAVS 測試。

此外，此更新會強制在 FIPS 模式中執行 FIPS 演算法限制，並且在套件構建過程中，根據 FIPS 合規性執行 Composite Application Validation System (CAVS) 測試。全新密碼編譯演算法驗證程式 (CAVP) 二進位可供隨時用於重新執行 CAVS 測試。無論是否處於 FIPS 模式，pluto 程序都會針對不同演算法執行 RFC 測試向量。

此外，現於所有架構上編譯時，將啟用‘-Werror’ GCC 選項，其會將所有警告轉為錯誤，進而提升安全性防護。(BZ#1263346)

* 此更新還修正了數個記憶體洩漏，並且引入次秒封包重新傳送選項。(BZ#1268773)

* 此更新改善了從 Openswan 移轉至 Libreswan 的支援功能。
具體而言，現已支援所有使用不含後置詞之時間值的 Openswan 選項，並且加入數個新的關鍵字，可供用於 /etc/ipsec.conf 檔案。請參閱相關手冊頁，進一步瞭解詳細資料。(BZ#1268775)

* 透過此更新，將可取代透過 'loopback=' 選項執行的回送支援。(BZ#1270673)

建議所有 Libreswan 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。

在 Libreswan 的 IKE 程序用於處理 IKE KE 承載的方法中發現一個瑕疵。遠端攻擊者可傳送特製的 IKE 承載，其中包含 g^x=0 的 KE 承載，一旦執行處理時，就可能會導致拒絕服務 (程序損毀)。(CVE-2015-3240)

注意：從舊版 Libreswan 升級時，系統會將 /etc/ipsec.d/cacerts/ 目錄中的現有 CA 憑證，以及 /etc/ipsec.d/crls/ 目錄中的現有憑證撤銷清單 (CRL) 檔案自動匯入 NSS 資料庫。完成後，Libreswan 就不會再使用這些目錄。若要安裝新的 CA 憑證或新 CRLS，必須使用 certutil 和 crlutil 命令將這些項目直接匯入 Network Security Services (NSS) 資料庫。

此更新也新增了下列增強功能：

- 此更新會新增對 RFC 7383 IKEv2 Fragmentation、RFC 7619 Auth Null 和 ID Null、INVALID_KE 重新交涉的支援、透過 NSS 的 CRL 和 OCSP 支援、適用於 IKEv2 的 AES_CTR 和 AES_GCM 支援，以及 FIPS 合規性的 CAVS 測試。

此外，此更新會強制在 FIPS 模式中執行 FIPS 演算法限制，並且在套件構建過程中，根據 FIPS 合規性執行 Composite Application Validation System (CAVS) 測試。全新密碼編譯演算法驗證程式 (CAVP) 二進位可供隨時用於重新執行 CAVS 測試。無論是否處於 FIPS 模式，pluto 程序都會針對不同演算法執行 RFC 測試向量。

此外，現於所有架構上編譯時，將啟用‘-Werror’ GCC 選項，其會將所有警告轉為錯誤，進而提升安全性防護。

- 此更新還修正了數個記憶體洩漏，並且引入次秒封包重新傳送選項。

- 此更新改善了從 Openswan 移轉至 Libreswan 的支援功能。具體而言，現已支援所有使用不含後置詞之時間值的 Openswan 選項，並且加入數個新的關鍵字，可供用於 /etc/ipsec.conf 檔案。請參閱相關手冊頁，進一步瞭解詳細資料。

- 透過此更新，將可取代藉由 ‘loopback=’ 選項執行的回送支援。

遠端主機受到 GLSA-201603-13 中所述的弱點影響 (Libreswan：多個弱點)

    Libreswan 中的 pluto IKE 程序若是以 NSS 構建，會允許遠端攻擊者透過 IKE 封包中 KE 承載的零 DH g^x 值，造成拒絕服務 (宣告失敗和程序重新啟動)。
      此外，遠端攻擊者可透過含有 (1) IPSEC DOI 值中設定的未指派位元或 (2) 設為 ISAKMP_NEXT_SAK 的下一個承載值之 IKEv1 封包，造成拒絕服務 (程序重新啟動)。
  影響：

    遠端攻擊者可能造成拒絕服務。
  因應措施：

    目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
86715	Oracle Linux 7：libreswan (ELSA-2015-1979)	Nessus	Oracle Linux Local Security Checks	2015/11/4	2025/4/29	high
86744	RHEL 7：libreswan (RHSA-2015:1979)	Nessus	Red Hat Local Security Checks	2015/11/5	2025/4/15	high
218918	Linux Distros 未修補弱點：CVE-2015-3240	Nessus	Misc.	2025/3/4	2025/3/4	high
86711	CentOS 7：libreswan (CESA-2015:1979)	Nessus	CentOS Local Security Checks	2015/11/4	2021/1/4	medium
86749	Scientific Linux 安全性更新：libreswan on SL7.x x86_64	Nessus	Scientific Linux Local Security Checks	2015/11/5	2021/1/14	medium
89906	GLSA-201603-13：Libreswan：多個弱點	Nessus	Gentoo Local Security Checks	2016/3/14	2021/1/11	medium

偵測

搜尋 Plugin

high

high

high

medium

medium

medium