GLSA 200404-05: ipsec-tools contains an X.509 certificates vulnerability.
Опасность: | высокая |
Заголовок: | ipsec-tools contains an X.509 certificates vulnerability. |
Дата: | 07.04.2004 |
Ошибки: |
|
ID: | 200404-05 |
Сводка
ipsec-tools contains a vulnerability that affects connections authenticated with X.509 certificates.Назначение
From http://ipsec-tools.sourceforge.net/ :
"IPsec-Tools is a port of KAME's IPsec utilities to the Linux-2.6 IPsec implementation."
Уязвимые пакеты
Пакет | Уязвимый | Нетронутый | Архитектура(ы) |
---|---|---|---|
net-firewall/ipsec-tools | <= 0.2.4 | >= 0.2.5 | amd64 |
Описание
racoon (a utility in the ipsec-tools package) does not verify digital signatures on Phase1 packets. This means that anybody holding the correct X.509 certificate would be able to establish a connection, even if they did not have the corresponding private key.
Воздействие
Since digital signatures are not verified by the racoon tool, an attacker may be able to connect to the VPN gateway and/or execute a man-in-the-middle attack.
Обход
A workaround is not currently known for this issue. All users are advised to upgrade to the latest version of the affected package.
Решение
ipsec-tools users should upgrade to version 0.2.5 or later:
# emerge sync # emerge -pv ">=net-firewall/ipsec-tools-0.2.5" # emerge ">=net-firewall/ipsec-tools-0.2.5"
Ссылки
Наличие
Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security:
Опасения?
Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.
Лицензия
Copyright 2010 Gentoo Foundation, Inc; текст ссылки принадлежит его владельцу(ам). Содержание этого документа распространяется на условиях лицензии Creative Commons - Attribution / Share Alike.