S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 08 avril 2004
N° CERTA-2004-AVI-123
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité du service IKE racoon

Gestion du document

Référence CERTA-2004-AVI-123
Titre Vulnérabilité du service IKE racoon
Date de la première version08 avril 2004
Date de la dernière version13 mai 2004
Source(s) Bulletin de sécurité GLSA-200404-05 de Gentoo
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Usurpation d'identité

Systèmes affectés

Paquetage IPsec-tools (pour les noyaux linux 2.6) version 0.3rc4 et antérieures.

Résumé

Une vulnérabilité est présente dans le service racoon lors de l'authentification en phase 1 basée sur des certificats X.509.

Description

racoon est un service de gestion des clefs IKE. racoon gère notamment les associations de sécurité (SA ou Security Association) pour du trafic réseau chiffré et/ou authentifié (IPSEC).

Une vulnérabilité est présente dans racoon dans le cas où les certificats X.509 sont utilisés pour l'authentification en phase 1. racoon ne vérifiant pas les signatures RSA, il est possible pour un utilisateur mal intentionné de réaliser une usurpation d'identité.

Solution

  • La version 0.3rc5 du paquetage ipsec-tools corrige cette vulnérabililité :

    http://ipsec-tools.sourceforge.net

  • Bulletin de sécurité GLSA-200404-05 de Gentoo

    http://www.gentoo.org/security/en/glsa/glsa-200404-05.xml

  • Bulletin de sécurité MDKSA-2004:027 de Mandrake :

    http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2004:027

Documentation

Gestion détaillée du document

    le 08 avril 2004
    version initiale.
    le 13 avril 2004
    ajout référence au bulletin de sécurité de Mandrake.
    le 12 mai 2004
    ajout références aux bulletins de sécurité FreeBSD et NetBSD.
    le 13 mai 2004
    ajout référence au bulletin de sécurité RedHat.