修正 strongswan swanctl 服務問題 rhbz#1193106 修正 CVE-2014-9221 拒絕服務弱點。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Mike Daskalakis 報告，在用來建立 IPsec 受保護連結的 IKE/IPsec 套件 strongSwan 的 IKEv2 程序 charon 中，有一個拒絕服務弱點。

該錯誤可由包含 Diffie-Hellman (DH) 群組 1025 的 IKEv2 金鑰交換 (KE) 承載觸發。此識別碼屬於私人使用範圍，只能由 libtls 在內部針對具有自訂產生器和質數的 DH 群組使用 (MODP_CUSTOM)。就其本身而論，具現化方法預期會將這兩個值都傳遞至建構函式。當根據 KE 承載中的群組建立 DH 物件時，並不會如此。因此，稍後會解除參照無效的指標，進而造成分割錯誤。

這表示，charon 程序可能損毀，並顯示包含此類 KE 承載的單一 IKE_SA_INIT 訊息。starter 處理程序應在之後重新啟動該程序，但這可能會增加系統的負載。由於此問題而無法實現遠端程式碼執行，且 IKEv1 在 charon 或 pluto 中不會受到影響。

此 strongswan 更新可修正下列安全性和非安全性問題。

- 不允許 FIPS 模式下的 brainpool 橢圓曲線群組 (bnc#856322)。

- 套用包含 Diffie-Hellman 群組 1025 的上游修正，可解決 IKEv2 Key Exchange 承載觸發的拒絕服務弱點 (bsc#910491、CVE-2014-9221)。

- 調整 fips 模式下核准的演算法允許清單 (bsc#856322)。

- 更新 strongswan-hmac 套件描述 (bsc#856322)。

- 停用明確的 gpg 驗證；osc source_validator 會執行。

- 保護規格檔案中的 fipscheck 和 hmac 套件，適用於 13.1 後的版本。

- 新增使用 fipshmac 公用程式產生的 fips hmac 雜湊檔案，以及 _fipscheck 指令碼，驗證 strongswan-hmac 套件隨附的 binaries/libraries/plugings。如果核心中啟用了 fips，IPsec 指令碼會在任何動作執行之前，或是在強制/手動執行的「ipsec _fipscheck」呼叫中呼叫 fips。新增組態檔載入 openssl 和核心 af-alg 外掛程式，而非所有其他提供進一步/替代 algs 的模組。套用不允許在 FIPS 模式下執行未核准之演算法的篩選器。
 (fate#316931、bnc#856322)。

- 修正選用 (已停用) strongswan 測試套件中的檔案清單。

- 修正 strongswan 內建完整性總和檢查碼程式庫的版本，並只在測試為可工作的架構上啟用構建。

- 修正以使用錯誤號碼 897048，而非上次變更項目中所用的 856322。

- 套用上游修補程式，再度還原為依註冊順序儲存演算法，因為按識別碼排序導致系統依預設先提議較弱的演算法 (bsc#897512)。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

新的上游版本 5.3.2。修正 CVE-2014-9221 和 CVE-2015-3991。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Mike Daskalakis 發現，strongSwan 未正確處理含有 Diffie-Hellman 群組 1025 的 IKEv2 承載。遠端攻擊者可利用此問題造成 IKE 程序損毀，進而導致拒絕服務。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此更新可修正下列安全性問題：

- IKEv2 Key Exchange 承載可觸發的拒絕服務弱點，其中包含 Diffie-Hellman 群組 1025 (bsc#910491、CVE-2014-9221)。

- 套用上游修補程式，再度還原為依註冊順序儲存演算法，因為按識別碼排序導致系統依預設先提議較弱的演算法 (bsc#897512)。

ID	名稱	產品	系列	已發布	已更新	嚴重性
82307	Fedora 21 : strongswan-5.2.2-2.fc21 (2015-3043)	Nessus	Fedora Local Security Checks	2015/3/30	2021/1/11	medium
80361	Debian DSA-3118-1：strongswan - 安全性更新	Nessus	Debian Local Security Checks	2015/1/6	2021/1/11	medium
83680	SUSE SLED12 / SLES12 安全性更新：strongswan (SUSE-SU-2015:0281-1)	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/6	medium
85561	Fedora 22 : strongswan-5.3.2-1.fc22 (2015-5279)	Nessus	Fedora Local Security Checks	2015/8/20	2021/1/11	critical
80391	Ubuntu 14.04 LTS：strongSwan 弱點 (USN-2450-1)	Nessus	Ubuntu Local Security Checks	2015/1/6	2023/10/23	high
80988	openSUSE 安全性更新：strongswan (openSUSE-SU-2015:0114-1)	Nessus	SuSE Local Security Checks	2015/1/26	2021/1/19	medium

偵測

搜尋 Plugin

medium

medium

medium

critical

high

medium