Sicherheits-Updates für strongSwan
Fehlerhafte Pakete können den IKEv2-Daemon Charon zum Absturz bringen. In der Praxis kann dies zu Beeinträchtigungen bestehender VPN-Verbindungen führen.
- Daniel Bachfeld
Die Entwickler der freien IPSec-Implementierung strongSwan haben neue Versionen und Patches veröffentlicht, um zwei DoS-Schwachstellen im Schlüsselaustausch-Daemon Charon (IKEv2) zu beseitigen. So können präparierte IKE_SA_INIT-Requests zu einem Zustand in Charon führen, der bei der folgenden Verarbeitung eines bestimmten CREATE_CHILD_SA-Requests zum Absturz führt. Des Weiteren verursachen fehlerhafte IKE_AUTH-Requests mit fehlendem Traffic-Selektor ebenfalls den Absturz des IKEv2-Daemons.
In der Praxis kann dies zu Beeinträchtigungen bestehender VPN-Verbindungen führen, im Wiederholungsfalle die Kommunikation auch zum Erliegen kommen. Betroffen sind die Versionen strongSwan 4.1.0 bis 4.3.0. In den Versionen 4.2.15 und 4.3.1 sind die Fehler behoben. Patches (hier und hier) stehen zuzsätzlich zur Verfügung.
Einen Einstieg in den neuen Standard IKEv2 liefert auch der Hintergrundartikel "Leichter tunneln - IPSec-VPNs werden einfacher und flexibler dank IKEv2" auf heise Security.
Siehe dazu auch:
(dab)
