S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 16 novembre 2005
N° CERTA-2005-AVI-458
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de la solution IPsec Openswan

Gestion du document

Référence CERTA-2005-AVI-458
Titre Vulnérabilité de la solution IPsec Openswan
Date de la première version16 novembre 2005
Date de la dernière version22 décembre 2005
Source(s) Avis de sécurité 273756/NISCC/ISAKMP de l'UNIRAS
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Déni de service distant

Systèmes affectés

Tout système Linux utilisant Openswan dans une version 2 antérieure à la 2.4.4.

Résumé

Un utilisateur mal intentionné peut envoyer des paquets volontairement mal formés au service IKE pour provoquer son arrêt et empêcher ainsi l'établissement de toute nouvelle connexion.

Description

Openswan est une solution IPsec pour système d'exploitation Linux.

Une faille dans le gestionnaire IKE des associations de sécurité peut être exploitée pour provoquer un déni de service. Par ailleurs, un problème lié à la négociation du chiffrement 3DES est également corrigé.

Solution

Mettre à jour les sources en version 2.4.4 au moins, ou se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 16 novembre 2005
    version initiale ;
    le 20 décembre 2005
    ajout des bulletins de sécurité Gentoo, Fedora Core 3 et 4, de la référence CVE, de la note de vulnérabilité US-CERT et correction du numéro de version des sources vulnérables ;
    le 22 décembre 2005
    ajout du bulletin de sécurité SuSE.